FamousSparrow migre en Amérique latine
Quelque part au Panama, une administration — impliquée dans l’un des dossiers économiques les plus sensibles du pays — a reçu un visiteur dont elle se serait probablement passée. Ce n’est pas un diplomate ni même un lobbyiste, c’est une entité malintentionnée. Via une porte dérobée, il parcourt des fichiers, exécute des commandes, transforme une machine en relais réseau et observe ce qui s’affiche à l’écran. Son nom : SparroWocky.
Le 17 septembre 2026, les chercheurs d’ESET ont documenté ce nouvel outil utilisé par FamousSparrow, un groupe de cyberespionnage qu’ils décrivent comme « aligné sur la Chine ». La découverte serait déjà significative s’il ne s’agissait que d’un logiciel malveillant jamais vu auparavant.
Une statistique lui donne une autre dimension. Entre le milieu de l’année 2025 et 2026, 90 % des cibles de FamousSparrow enregistrées dans la télémétrie d’ESET se trouvent en Amérique latine. Les chercheurs indiquent avoir observé SparroWocky contre des entités gouvernementales en Argentine, en Équateur, au Guatemala, au Honduras, au Panama, au Pérou, à Porto Rico et au Venezuela. Une concentration inhabituelle, écrivent-ils.
Un moineau que l’on croyait (presque) disparu
La véritable information n’est donc peut-être pas le malware. Elle se trouve sur la carte. FamousSparrow n’est pas apparu avec SparroWocky. Le groupe est actif depuis au moins 2019. Des chercheurs l’ont pour la première fois documenté en 2021, lorsqu’il exploitait les vulnérabilités ProxyLogon de Microsoft Exchange. À l’époque, ses cibles étaient principalement des hôtels, hormis des gouvernements, des organisations internationales, des sociétés d’ingénierie et des cabinets juridiques.
Puis le groupe s’est fait discret. Aucune activité majeure depuis 2022 jusqu’à ce qu’ESET le retrouve en 2024.
En juillet 2024, les chercheurs d’ESET Research repèrent FamousSparrow dans le réseau d’une association états-unienne du secteur financier. Ils découvrent deux versions jusque-là inconnues de SparrowDoor, son emblématique porte dérobée. Le lien s’effectue entre la compromission d’un institut de recherche au Mexique et le ciblage, entre autres, d’une institution gouvernementale hondurienne.
Le groupe n’avait donc pas disparu, il a continué de travailler, de peaufiner.
À partir de juillet 2025, la géographie change. C’est alors qu’ESET observe SparroWocky. Le nouvel outil n’est pas une vulgaire mise à jour de SparrowDoor : c’est une famille distincte, écrite en C++, qui devient rapidement l’implant principal sur lequel les chercheurs se penchent.
Entrer, rester, regarder
SparroWocky n’est pas conçu pour chiffrer et réclamer une rançon. Sa fonction est plus silencieuse, plus insidieuse. Il permet à un opérateur de rester dans un système compromis, de comprendre son environnement et d’en extraire la moelle à laquelle il porte de l’intérêt.
Ainsi, cela peut rendre possible la collecte de données sur le système d’information et son utilisateur, parcourir les répertoires, copier, déplacer ou supprimer des fichiers, lancer des programmes et des commandes, transférer des données et servir de proxy TCP. Mais elle peut également charger en mémoire des Beacon Object Files. Ils sont des petits modules utilisés notamment par des outils de red team et de tests d’intrusion (pentest), mais que des personnes malveillantes peuvent détourner de leurs usages premiers.
Les auteurs de SparroWocky ont aussi travaillé la discrétion. ESET décrit des manipulations de structures internes de Windows, du chargement de code en mémoire et plusieurs mécanismes destinés à compliquer l’analyse ou la détection.
(Crédits : Bayram Yalçın/Pexels)
Une fois activée, SparroWocky prend une première image complète de l’affichage. Ensuite, toutes les 500 millisecondes — soit une demie seconde — en l’absence de nouvelle commande, il réalise une autre capture et n’envoie au serveur de commande que les blocs de pixels ayant changé. L’image abstraite du « cyberespionnage » devient alors très concrète. Un document ouvert, une conversation affichée ou une note interne consultée sur le poste compromis peuvent être observés à distance avec une fréquence très élevée. Dans sa cartographie MITRE ATT&CK de la campagne, ESET indique aussi que FamousSparrow a obtenu des accès en exploitant des serveurs Microsoft Exchange. Cela ne permet pas d’affirmer que chaque compromission observée a débuté de cette manière.
Pourquoi l’Amérique latine ?
C’est la question qui fait sortir SparroWocky des sentiers battus. Les chercheurs avancent que cette concentration régionale pourrait être liée au regain, pour l’Amérique latine entre Washington et Pékin. La Chine serait ainsi à même de mieux suivre et anticiper les réactions des gouvernements face aux initiatives américaines. Surtout les tractations sur les biais des infrastructures, telles que l’énergie, les mines ou les télécommunications. Mais cela reste une hypothèse analytique d’ESET, non la démonstration d’un ordre donné par Pékin.
La prudence est de mise sur l’attribution de la campagne SparroWocky à FamousSparrow. Avec un haut niveau de confiance, les chercheurs se basent sur des faits relevés. Lors de certaines des premières attaques, SparroWocky a été déployé par SparrowDoor, dont FamousSparrow est le seul utilisateur connu. Tout comme l’ancienne mouture avait déjà ciblé plusieurs des organisations visées par le nouvel outil.
En revanche, ce n’est pas parce qu’il existe un alignement qu’ESET qualifie FamousSparrow de groupe « China-aligned ». Fort de soupçons, d’entente ou du moins de rapprochement envers Salt Typhoon, les chercheurs poursuivent l’investigation des deux ensembles faute d’indicateurs techniques pour les confondre.
Aucune réaction publique chinoise spécifiquement consacrée au rapport SparroWocky n’est à ce jour documentée. Dans d’autres affaires récentes de cybersécurité, le ministère chinois des Affaires étrangères a toutefois répété que Pékin s’opposait au piratage informatique et rejetait les accusations qu’il juge politiquement motivées.
Au Panama, la géopolitique est concrète
C’est au Panama que l’hypothèse d’ESET rencontre un succès franc. L’une des entités panaméennes ciblées est directement impliquée dans le différend commercial sino-américain autour de Balboa et Cristóbal, deux grands terminaux portuaires situés de part et d’autre du canal. Pendant près de trente ans, Panama Ports Company, filiale du groupe hongkongais CK Hutchison, les a exploités. Leur contrôle est devenu l’un des points sensibles autour de cette voie maritime stratégique.
Fin janvier 2026, la Cour suprême panaméenne annule les contrats permettant à Panama Ports Company d’exploiter les deux terminaux, jugeant qu’ils violaient la Constitution. L’affaire s’inscrivait déjà dans un contexte de fortes tensions : les États-Unis s’inquiétaient de l’influence chinoise autour du canal, tandis que la Chine critiquait ce qu’elle présentait comme des pressions sur des intérêts économiques liés à Hong Kong. (Crédits : shyam mishra/Pexels)
Le contentieux a ensuite quitté le seul terrain politique. CK Hutchison a lancé en août une procédure d’arbitrage international réclamant plus de 1,5 milliard de dollars au Panama au titre de la destruction alléguée de ses investissements ; sa filiale Panama Ports Company avait parallèlement engagé une autre procédure après l’annulation de ses licences. C’est dans ce contexte que FamousSparrow a été observé contre une entité directement impliquée dans le différend. Les chercheurs en déduisent que le groupe pourrait avoir cherché à obtenir des informations privilégiées sur les intentions des autorités panaméennes. Là encore, c’est une interprétation de la part des chercheurs.
Espionner avant que la décision ne devienne publique
Le cyberespionnage n’a pas besoin de produire une panne spectaculaire pour être utile. Savoir qu’un contrat sera renégocié, connaître la position politique d’un gouvernement dans un conflit commercial, comprendre quelles infrastructures pourraient changer d’opérateur ou lire les scénarios encore débattus à huis clos peut valoir davantage qu’une perturbation visible.
Un poste de travail compromis peut contenir ces informations avant qu’elles ne deviennent une décision officielle. Reste une inconnue majeure. ESET lui-même ne permet pas encore de savoir si la concentration latino-américaine de FamousSparrow correspond à une orientation durable du groupe ou à une campagne liée à une conjoncture géopolitique particulière.
C’est désormais l’indicateur à surveiller. Si la même victimologie se poursuit dans les prochains mois, SparroWocky racontera autre chose qu’une évolution technique de FamousSparrow. Il soulignera que l’Amérique latine, qui était déjà un champ de bataille concernant les infrastructures, l’énergie, les ressources minérales et les télécommunications, est maintenant un espace clé à surveiller dans le domaine du renseignement numérique. Pour l’instant, un fait demeure : le petit moineau a changé de terrain de chasse. (Crédits : Patrice Schoefolt/Pexels)
