SparroWocky juga dapat melakukan enumerasi drive, direktori, file, layar, dan sesi pengguna aktif. Malware ini memungkinkan pelaku mengunggah, mengunduh, menyalin, memindahkan, mengganti nama, dan menghapus file.
Kemampuan lainnya mencakup menjalankan Beacon Object Files langsung di memori, mengambil tangkapan layar, membuat proses dalam sesi pengguna lain yang sedang login, serta berfungsi sebagai TCP proxy untuk meneruskan koneksi.
SparroWocky dapat mengambil tangkapan layar setiap 500 milidetik. Setelah mengirim tangkapan layar penuh pertama, malware hanya mengirim bagian layar yang mengalami perubahan.
Gunakan Teknik Hindari Deteksi
ESET menemukan SparroWocky disebarkan melalui teknik DLL side-loading. Loader terlebih dahulu mendekripsi payload yang dienkripsi menggunakan RC4 dan tersimpan dalam file .dat, lalu memetakannya langsung ke memori.
Malware tersebut juga menggunakan berbagai teknik untuk menghindari analisis dan pendeteksian. Termasuk spoofing call stack dan asal ancaman, dynamic API resolving, serta penyamaran kode dan DLL berbahaya di memori sebagai komponen Windows yang sah.
SparroWocky juga memodifikasi proses pembuatan thread Windows. ESET menemukan malware tersebut menggunakan library MinHook untuk melakukan hook terhadap fungsi CreateThread dan menyembunyikan parameter lpStartAddress asli dari perangkat keamanan.
Dengan teknik tersebut, thread yang dibuat SparroWocky akan terlihat memiliki AnimateWindow sebagai alamat awal sehingga berpotensi dianggap sebagai aktivitas dari komponen Windows yang sah.
Untuk mempertahankan keberadaannya di perangkat korban, malware dapat membuat layanan Windows bernama ProcAuditManager atau menambahkan registry key SnapCart di HKLM maupun HKCU, tergantung hak akses yang tersedia.
ESET mengatakan arsitektur dan teknik evasi SparroWocky menunjukkan penguasaan terhadap teknik anti-analisis dan sistem internal Windows.
Menurut ESET, karakteristik tersebut sejalan dengan dugaan bahwa FamousSparrow merupakan kelompok yang memiliki sumber daya dan pengalaman tinggi.
Dalam penyelidikannya, ESET menemukan sedikitnya 18 alamat command-and-control (C2) yang berkomunikasi dengan malware melalui port 443 atau 8080, baik secara langsung maupun menggunakan proxy HTTP dan SOCKS5.
Telemetri ESET menunjukkan bahwa sejak pertengahan 2025, operasi FamousSparrow terutama menargetkan organisasi di kawasan Amerika Latin.
(mef/wep)
