Check Point Research heeft drie clusters van cyberespionage-activiteit gekoppeld aan één gedeeld malware-ecosysteem: Sparrow malware. De campagnes richten zich al ruim een jaar op telecomaanbieders, overheidsinstanties, militaire doelen, onderzoeksorganisaties en kritieke infrastructuur in Latijns-Amerika, Azië en Europa. Ondanks verschillen in aanpak, gereedschap en startmoment blijkt er overlap te bestaan via infrastructuur en code-kenmerken.
De ontwikkelaar achter het Sparrow-framework is gecodenamed CopperDragon. Het team zou optreden als een soort “tooling quartermaster” voor China-nexus dreigingsactoren, waaronder namen als FamousSparrow en Tropic Trooper. In deze analyse duiden we de drie bekende clusters: SilentDelivery, OceanGate en DarkWire, plus de belangrijkste technieken die in de beschrijving naar voren komen.
Drie clusters onder één Sparrow malware-ecosysteem
In eerste instantie werd gedacht dat de activiteiten los van elkaar stonden. Elk cluster zou immers eigen backdoors en post-exploitation tooling hebben. Toch tonen de onderzoekers aan dat er een link bestaat via een overkoepelend ecosysteem: Sparrow. De clusters verschillen wel degelijk in werkwijze, maar delen code- en infrastructuurkenmerken die wijzen op dezelfde “leverancier” van onderdelen.
De drie activiteitengroepen combineren ook verschillende initial access routes. Daarbij gaat het onder meer om het compromitteren van internetgerichte infrastructuur en om zeer selectieve watering hole-aanvallen op websites die relevant zijn voor de beoogde sectoren.
SilentDelivery: selectieve watering hole met nep “Certificate Fix”
SilentDelivery startte volgens de rapportage begin 2026 en richt zich vooral op Europa en Azië. De aanval werkt met een selectieve watering hole: de aanvallers injecteren sterk obfuscated JavaScript in legitieme websites die bezoekers uit de doelgroepen aantrekken.
Bezoekers krijgen vervolgens een waarschuwing in Google Chrome over een SSL-certificaat. De boodschap stuurt aan op het installeren van een hulpprogramma, een zogenoemde “Certificate Fix”, om de toegang te herstellen. Zodra de “utility” is uitgerold, levert de operatie ofwel SquadC (ook bekend als SquawkDoor) of een variant van SparrowDoor.
Opvallend is dat de aangetaste websites in de analyse gekoppeld worden aan sectoren zoals overheid, scheepvaart, IT en onderzoek, in onder meer de Tsjechische Republiek, Duitsland, Frankrijk, Taiwan, Nepal, Hongkong en Indonesië. Andere publicatie-indicaties noemen bovendien dat de methode mogelijk ook is gebruikt richting entiteiten in Egypte en de Filipijnen.
Hoe de JavaScript-laag bezoekers selecteert
De JavaScript-obfuscatie gebruikt volgens de beschrijving een publiek beschikbare obfuscationservice (jsjiami). De code controleert vervolgens onder andere of de gebruiker op Windows draait en, in sommige gevallen, of het domein overeenkomt met het beoogde gecompromitteerde domein.
Daarna stuurt het script herhaaldelijk status-check verzoeken naar een command-and-control (C2)-server om een profiel te maken op basis van IP en geolocatie. Op basis van die “vingerafdruk” wordt bepaald of de nepwaarschuwing wordt getoond en of de rest van de aanval wordt voortgezet.
Initial foothold: SquadC via Registry Run en phishing
Voor SquadC wordt beschreven dat het in C/C++ is geschreven en als backdoor dient voor de eerste toegang op het besmette Windows-systeem. Persistentie wordt opgebouwd via een Windows Registry Run key, die zich voordoet als een Windows update-assistent.
De beschrijving noemt ook een tweede distributieroute via phishing tegen Indonesische organisaties: een Windows Shortcut (LNK) vermomd als PDF. Bij openen misbruikt de aanval het legitieme ftp.exe-binaire bestand om een batchscript te starten dat een leeg bestand toont als decoy, terwijl SquadC vervolgens wordt gestart via DLL sideloading.
OceanGate: Linux start, RDP naar Windows en uitgebreide post-exploit
OceanGate is waargenomen in de periode 2025-2026 en richt zich vooral op organisaties in Azië. Deze campagne werkt zowel op Linux als op Windows en combineert nieuwe tooling om toegang te behouden, lateraal te bewegen en gevoelige data te exfiltreren.
De Linux-fase draait om twee backdoors. Ten eerste AnnobinDoor, geschreven in Go, met een brede set functies zoals remote access, interactieve shell, bestandsbeheer, SOCKS proxying, SSH tunneling, port forwarding en reverse connections. Daarmee kan een besmet Linux-systeem functioneren als remote shell én als pivot in het interne netwerk.
Daarnaast is er SparrowShell, een modulaire Linux-backdoor met overlap met het Windows-tegenstuk SparrowDoor.
Van Linux naar Windows via credential-harvesting en RDP
Na het verzamelen van inloggegevens op meerdere gebruikers verplaatst de actor zich naar de Windows-omgeving. De beschrijving vermeldt dat geprobeerd wordt in te loggen op verschillende Windows-machines via RDP, waarbij verschillende wachtwoorden worden geprobeerd tot authenticatie lukt met een administratieve account.
Vervolgens worden eigen post-exploitation hulpmiddelen ingezet, waaronder:
- CopperAdu voor configuratie van remote administratieve toegang
- CopperList voor reconnaissance met hostinformatie, schijfdetails en een recursieve bestandsinventaris
- CopperLogger als keylogger op basis van Raw Input, inclusief observatie van klembord, actieve venstertitels en procesinformatie
- CopperLsa voor het verzamelen van wachtwoorden, hashes en authenticatietokens uit NTLM en Kerberos
Kernel-level stealth en netwerkmanipulatie
Om detectie te omzeilen, wordt melding gemaakt van het opnemen van kernel rootkits en kernel-level capabilities in SparrowDoor en SparrowShell. Dit zou o.a. proces hiding ondersteunen en packet capture beïnvloeden met behulp van WinDivert-drivers.
In de beschrijving wordt ook uitgelegd dat de driver misbruikt wordt om SparrowDoor om te vormen tot een passieve backdoor die netwerkverkeer op kernel-niveau onderschept en manipuleert. Daardoor kan verkeer minder zichtbaar lijken: intern luistert de backdoor op een interne poort, terwijl extern verkeer via een poort wordt geleid die al door een legitieme service wordt gebruikt, zoals 443.
DarkWire: telecom en overheid met CopperDoor en CopperDNS
Het derde cluster, DarkWire, focust volgens de beschrijving op Latijns-Amerika, met bijzondere aandacht voor telecomoperatoren en overheidsorganisaties. De aanval leidt tot de inzet van twee nieuwe backdoors: CopperDoor en CopperDNS, mogelijk als vervanging voor SparrowDoor binnen dit ecosysteem.
Naast de backdoors gebruikt DarkWire een set custom tools. Het gaat om:
- CopperLoader, een reflective loader die vaak via DLL sideloading wordt uitgerold
- CopperDoor, een memory-resident modulaire backdoor
- CopperDNS, een variant die communiceert met DNS tunneling via MX-queries
- CopperProxy, een SOCKS5-proxy
- PyProxy, een lichte UDP-relay in Python
- CopperLsass, gericht op het dumpen van het LSASS-proces voor credential harvesting
Uitvoering en operationele beveiliging
De beschrijving benadrukt dat DLL sideloading een primaire uitvoeringstechniek is, waarbij executables worden misbruikt die minder vaak opduiken bij andere dreigingsactoren. Om sporen te beperken zouden de operators bewust vermeden hebben om nieuwe mappen op schijf te maken; de tools worden dan in bestaande systeem-paden geplaatst.
Op het niveau van infrastructuur zou CopperDoor een relatief hogere operationele beveiliging tonen. Veel IP-adressen lijken gelokaliseerd in Latijns-Amerika en vaak in hetzelfde land als het slachtoffer. Dat kan helpen om kwaadaardig verkeer beter te laten lijken op normaal netwerkverkeer en daarmee detectiekansen te verlagen.
Wat dit betekent voor organisaties
Hoewel de beschrijving vooral technisch van aard is, zijn de implicaties voor verdediging duidelijk. De aanpak combineert social engineering (nep waarschuwingen en phishing), supply van tooling (onder Sparrow malware), en krachtige post-exploitation mogelijkheden op zowel Linux als Windows.
Voor teams die verantwoordelijk zijn voor beveiliging en incidentrespons is het verstandig om extra aandacht te geven aan signalen rondom watering hole-activiteit, onverwachte browser-/certificaatwaarschuwingen en de inzet van “utility”-downloaders. Daarnaast vraagt het om alertheid op verdachte DLL sideloading, Registry Run persistence, en tekenen van credential harvesting zoals LSASS-gerichte acties.
Wie vooral kijkt naar het herkennen en herstellen van misbruik rond SSH of supply chain componenten, kan ook kijken naar verwante analyses op deze site, zoals Git 2.56.1: kwetsbaarheid in recursive clones en SSHole: OpenSSH kwetsbaarheid en directe acties.
Conclusie: één ecosysteem, meerdere routes naar toegang
De kern van het onderzoek is dat drie afzonderlijke clusters—SilentDelivery, OceanGate en DarkWire—verbonden zijn door een gedeeld Sparrow malware-ecosysteem. CopperDragon wordt daarbij gezien als de ontwikkelende kracht achter de framework-onderdelen die meerdere China-nexus dreigingsactoren ondersteunen.
Voor defenders is de boodschap vooral: verwacht variatie in initial access en tooling, maar houd rekening met hergebruik van technieken zoals obfuscation, selectieve targeting, DLL sideloading, credential harvesting en stealth op host- én netwerklaag. Door die patronen vroegtijdig te herkennen, verklein je de kans dat aanvallen uitmonden in langdurige toegang en datadiefstal.
Bron: https://thehackernews.com/2026/11/three-china-nexus-espionage-campaigns.html
