FamousSparrow déploie SparroWocky contre l'Amérique latine

Une APT chinoise ressurgit avec un arsenal renouvelé

Les chercheurs d'ESET ont publié le 17 septembre 2026 une analyse approfondie révélant que FamousSparrow — un acteur de menace persistante avancée (APT) dont l'alignement avec les intérêts étatiques chinois est documenté depuis plusieurs années — conduit depuis au moins juillet 2025 une vaste campagne d'espionnage ciblant les gouvernements d'Amérique latine. La pièce maîtresse de cette opération est un implant inédit, nommé SparroWocky par les analystes d'ESET, qui n'avait jamais été observé dans la nature auparavant.

FamousSparrow n'est pas un groupe nouveau : il a été initialement identifié en 2021 lors d'attaques exploitant des vulnérabilités dans Microsoft Exchange Server (ProxyLogon), ciblant principalement des hôtels, des gouvernements et des entreprises d'ingénierie dans plusieurs régions. Après une période de relative discrétion sur la scène publique, le groupe réapparaît en 2025-2026 avec un outillage considérablement modernisé et une focalisation géographique résolument tournée vers l'Amérique centrale et l'Amérique du Sud.

Selon l'analyse d'ESET, cette réorientation vers l'Amérique latine reflète probablement les intérêts stratégiques et diplomatiques de Pékin dans une région où la Chine a massivement investi dans les infrastructures ces dix dernières années. Les entités compromises incluent des ministères, des agences gouvernementales et des organismes de sécurité nationale — exactement le type de cibles qui intéresse un service de renseignement étatique cherchant à surveiller les positions diplomatiques et les décisions politiques locales.

SparroWocky est un backdoor modulaire écrit en C++, ce qui lui confère une empreinte relativement légère et une portabilité facilitée. Son nom provient d'un détail découvert lors de l'analyse du code : les premières itérations du malware contenaient en commentaire le premier couplet du poème nonsensique Jabberwocky, écrit par Lewis Carroll en 1855. Ce marqueur personnel, probablement laissé par un développeur, a permis aux analystes d'établir des connexions entre différentes variantes du backdoor observées à plusieurs mois d'intervalle.

Sur le plan technique, SparroWocky atteint ses victimes via un schéma dit de trident loader, reposant sur le DLL side-loading. L'attaquant dépose trois fichiers sur la machine cible : un exécutable légitime et signé (souvent un outil de sécurité ou un binaire Windows connu), une DLL malveillante portant le nom attendu par cet exécutable, et un fichier de payload chiffré. Lorsque l'exécutable légitime est lancé — généralement via une tâche planifiée ou une clé de registre au démarrage — il charge la DLL malveillante, qui déchiffre et exécute le payload principal en mémoire, sans jamais écrire le code final sur le disque. Cette technique contourne efficacement de nombreuses solutions antivirus basées sur les signatures de fichiers.

Les capacités de SparroWocky couvrent l'ensemble du spectre d'un outil de cyber-espionnage de haut niveau. Le backdoor peut exécuter des fichiers arbitraires, agir comme proxy TCP pour tunnéliser du trafic à travers le système compromis, collecter des informations sur la machine (nom d'hôte, adresses IP, version du système d'exploitation), exfiltrer des fichiers vers un serveur de commande et contrôle (C2), prendre des captures d'écran à intervalles réguliers, effectuer des opérations de gestion de fichiers (lecture, écriture, déplacement, suppression), et se désinstaller lui-même pour effacer toute trace de compromission en cas de détection imminente.

La communication avec l'infrastructure C2 se fait via des protocoles réseau courants, rendant le trafic malveillant difficile à distinguer du trafic légitime sur les réseaux d'entreprise peu équipés en outils d'inspection approfondie des paquets. ESET a identifié plusieurs nœuds d'infrastructure C2, dont certains hébergés sur des services de cloud commerciaux — une pratique courante pour les APT cherchant à se fondre dans le bruit de fond du trafic Internet.

La chronologie de la campagne, telle que reconstituée par ESET, montre une première activité datable à juillet-août 2025, avec une intensification marquée au premier semestre 2026. Les huit pays ciblés — Argentine, Équateur, Guatemala, Honduras, Panama, Pérou, Porto Rico et Venezuela — représentent un spectre géographique couvrant à la fois des économies émergentes et des États stratégiquement positionnés sur des routes commerciales ou énergétiques critiques. 90 % des victimes documentées par ESET entre mi-2025 et 2026 étaient localisées dans cette région, ce qui tranche nettement avec les activités antérieures du groupe, plus dispersées géographiquement.

Pourquoi cette campagne est un signal d'alarme pour la sécurité régionale

La réémergence de FamousSparrow avec un nouvel outillage illustre une tendance lourde dans l'écosystème des APT étatiques : les acteurs les plus avancés ne disparaissent jamais vraiment — ils évoluent. Après que le groupe a été exposé publiquement en 2021, l'hypothèse d'une mise en veille semblait plausible. La découverte de SparroWocky démontre au contraire qu'il s'agissait d'une période de redéveloppement opérationnel, au cours de laquelle les développeurs ont probablement tiré les leçons des expositions passées pour construire un implant plus furtif et plus modulaire.

Pour les équipes de sécurité des administrations publiques en Amérique latine — souvent dotées de moyens techniques et budgétaires significativement inférieurs à ceux de leurs homologues nord-américains ou européens —, ce type d'implant représente un défi de détection majeur. Le DLL side-loading via des binaires légitimes signés est notoirement difficile à identifier avec des outils de sécurité conventionnels. Seule une approche basée sur la détection comportementale (EDR) et sur l'analyse du trafic réseau sortant permet d'espérer identifier un tel implant une fois installé.

L'aspect géopolitique de la campagne mérite également d'être souligné. La concentration sur l'Amérique latine coïncide avec une période de tension accrue entre Pékin et Washington concernant l'influence respective des deux puissances dans la région. Plusieurs des pays ciblés ont signé des accords d'investissement avec la Chine dans le cadre de l'initiative « Ceinture et Route », et l'espionnage de leurs communications gouvernementales offrirait à Pékin un avantage informationnel considérable dans les négociations diplomatiques et commerciales en cours.

Du point de vue de la défense collective, cette campagne rappelle l'importance de partager les indicateurs de compromission (IoC) entre les CERT nationaux de la région. ESET a publié l'ensemble des hachages de fichiers, des domaines C2 et des adresses IP associées à SparroWocky, permettant aux équipes de sécurité d'alimenter leurs outils de détection. Les équipes SOC devraient prioriser la recherche de ces IoC dans leurs journaux des douze derniers mois, car la campagne est active depuis plus d'un an.

Ce qu'il faut retenir

• FamousSparrow est de retour avec SparroWocky, un backdoor C++ modulaire ciblant les gouvernements d'Amérique latine via DLL side-loading — le groupe n'est plus dormant.
• 90 % des victimes documentées par ESET se trouvent dans 8 pays d'Amérique latine : intégrer les IoC publiés dans vos SIEM et EDR est une priorité immédiate.
• La détection de SparroWocky requiert une approche comportementale (surveillance des DLL chargées par des exécutables légitimes) et une analyse du trafic sortant vers des IP/domaines inconnus.