Hoe verwijdert u de SparroWocky-backdoor van het besturingssysteem

Wat voor soort malware is SparroWocky Backdoor?

SparroWocky is een backdoor geschreven in C++ en ingezet door FamousSparrow, een aan China gelieerde cyberspionagegroep. De backdoor brengt heimelijke, permanente toegang tot geïnfecteerde computers tot stand en stelt operators in staat om opdrachten uit te voeren, bestanden over te dragen, schermafbeeldingen te maken en netwerkverkeer via gecompromitteerde machines te routeren.

Volgens onderzoek gepubliceerd door ESET dook SparroWocky in augustus 2025 op als opvolger van FamousSparrows vorige SparrowDoor-implantaat. De groep voert sinds ten minste 2019 cyberspionageoperaties uit.

De campagne heeft zich sterk gericht op overheidsorganisaties in heel Latijns-Amerika. Onder de doelwitten bevinden zich Argentinië, Ecuador, Guatemala, Honduras, Panama, Peru, Puerto Rico en Venezuela. De groep lijkt inlichtingen te verzamelen met betrekking tot Amerikaanse diplomatieke druk die de Chinese economische belangen in de regio treft.

Overzicht van SparroWocky Backdoor

SparroWocky communiceert met zijn command-and-control (C2)-server via TLS-versleutelde verbindingen, waarbij poort 443 of 8080 wordt gebruikt. De malware ondersteunt directe verbindingen, HTTP-proxy's met Negotiate/Basic-authenticatie en SOCKS5-proxytunneling met optionele inloggegevens.

Elk commandobericht wordt versleuteld met RC4 met een nieuwe sleutel per transmissie, waardoor verkeersinspectie moeilijk wordt. ESET identificeerde ten minste 18 C2-serveradressen die in gebruik zijn, gehost bij meerdere providers, waaronder LightNode, Kaopu Cloud en Cogent Communications.

De backdoor wordt afgeleverd via een driedelige loader die vertrouwt op DLL side-loading. Een legitiem uitvoerbaar bestand, een kwaadaardige DLL en een versleuteld payloadbestand werken samen. De DLL ontsleutelt de payload en plaatst deze rechtstreeks in het geheugen, zodat de backdoor zelf nooit als een herkenbaar bestand naar de schijf wordt geschreven.

Mogelijkheden van SparroWocky Backdoor

SparroWocky ondersteunt meer dan 30 verschillende commando's. Het kan shell-commando's en willekeurige programma's uitvoeren, bestanden uploaden en downloaden, bestanden kopiëren, verplaatsen, hernoemen en verwijderen, en schijven, mappen en actieve gebruikerssessies op de machine opsommen.

Elke 500 milliseconden worden er screenshots gemaakt. Om de hoeveelheid verzonden gegevens te beperken, worden alleen de delen van het scherm die tussen opnames zijn gewijzigd naar de aanvaller verzonden. De backdoor kan ook processen starten onder de sessie van een andere ingelogde gebruiker en Beacon Object Files (BOF's) rechtstreeks in het geheugen laden om de functionaliteit uit te breiden.

Een TCP-proxymodule stelt aanvallers in staat hun eigen netwerkverkeer via de gecompromitteerde machine te routeren. SparroWocky verzamelt ook systeemgegevens - hostnaam, gebruikersnaam, domeinnaam, IP-adressen en Windows-versie - en rapporteert die informatie bij het verbinden aan de operator.

Persistentie en ontwijking van verdediging

SparroWocky vestigt persistentie op een van twee manieren, afhankelijk van het rechtenniveau. Het kan zichzelf installeren als een Windows-service met de naam ProcAuditManager, of het kan een Windows-register-runsleutel met de naam SnapCart toevoegen onder HKLM of HKCU.

Om zich te verbergen voor beveiligingssoftware maakt de malware gebruik van SilentMoonwalk, een techniek die valse call stacks vervalst. Dit zorgt ervoor dat gemonitorde Windows API-aanroepen lijken afkomstig te zijn van legitieme systeemthreads in plaats van van kwaadaardige code, waarmee beveiligingsmonitoringtools worden misleid.

SparroWocky haakt ook in op de Windows-functie voor het aanmaken van threads met behulp van de MinHook-bibliotheek, waarbij de uitvoering wordt omgeleid via een legitieme Windows-functie om het werkelijke doel van elke thread te verhullen. Dynamische API-resolutie betekent dat functienamen tijdens runtime worden opgelost met behulp van een aangepast hashing-algoritme, zodat er geen herkenbare imports in de eigen code van de malware verschijnen.

Wanneer operators klaar zijn met een doelwit, kan de malware zijn eigen persistentie-items verwijderen en bijbehorende bestanden verwijderen via een uitgevoerd batchscript, waardoor het bij het afsluiten zijn sporen uitwist.

Conclusie

SparroWocky Backdoor is een geavanceerde bedreiging die wordt gebruikt in staatsgerelateerde spionagecampagnes. Het geeft aanvallers volledige controle op afstand over geïnfecteerde machines, ondersteunt uitgebreide bestands- en surveillanceoperaties en maakt gebruik van geavanceerde technieken om detectie en analyse te vermijden.

Slachtoffers lopen risico's zoals ongeautoriseerde surveillance, langdurige compromittering van gevoelige systemen, exfiltratie van vertrouwelijke gegevens en het inzetten van aanvullende malware. Elk systeem dat geïnfecteerd blijkt te zijn, moet onmiddellijk worden hersteld. Meer voorbeelden van backdoors zijn Mistic, Beagle en NANOREMOTE.

Hoe is SparroWocky Backdoor mijn computer binnengedrongen?

Zoals gedocumenteerd door BleepingComputer verkreeg FamousSparrow initiële toegang door bekende kwetsbaarheden in publiek toegankelijke Microsoft Exchange-servers uit te buiten, met name ProxyLogon-fouten die aanwezig zijn in niet-gepatchte installaties.

Eenmaal binnen zetten de aanvallers SparroWocky in via DLL side-loading. Een legitiem uitvoerbaar bestand wordt naast een kwaadaardige DLL en een versleuteld payloadbestand geplaatst. Het uitvoeren van het uitvoerbare bestand zorgt ervoor dat de DLL wordt geladen, die de backdoor-payload ontsleutelt en in het geheugen plaatst zonder deze naar de schijf te schrijven.

Meer in het algemeen kunnen geavanceerde backdoors zoals SparroWocky ook binnenkomen via gerichte phishing-e-mails, gecompromitteerde diensten voor toegang op afstand en kwaadaardige software-installatieprogramma's. Het up-to-date en gepatcht houden van alle server-gerichte software is de meest directe manier om de blootstelling aan dit type aanval te verminderen.

Hoe voorkom ik de installatie van malware?

Wees voorzichtig met onverwachte e-mails en berichten, met name die met bijlagen of links. Download software alleen van officiële leverancierswebsites en betrouwbare bronnen. Vermijd cracks, sleutelgeneratoren en illegale content, aangezien dit veelvoorkomende middelen zijn voor de verspreiding van malware.

Houd uw besturingssysteem en alle geïnstalleerde applicaties up-to-date, aangezien veel aanvallen afhankelijk zijn van niet-gepatchte kwetsbaarheden. Gebruik betrouwbare beveiligingssoftware en voer regelmatig scans uit om bedreigingen vroegtijdig te onderscheppen. Als u denkt dat uw computer al geïnfecteerd is, raden wij aan een scan uit te voeren met Combo Cleaner Antivirus voor Windows om binnengedrongen malware automatisch te verwijderen.

Onmiddellijke automatische malwareverwijdering:

Handmatig de dreiging verwijderen, kan een langdurig en ingewikkeld proces zijn dat geavanceerde computer vaardigheden vereist. Combo Cleaner is een professionele automatische malware verwijderaar die wordt aanbevolen om malware te verwijderen. Download het door op de onderstaande knop te klikken:

Door het downloaden van software op deze website verklaar je je akkoord met ons privacybeleid en onze algemene voorwaarden. Om het volledige product te kunnen gebruiken moet u een licentie van Combo Cleaner kopen. Beperkte proefperiode van 7 dagen beschikbaar. Combo Cleaner is eigendom van en wordt beheerd door RCS LT, het moederbedrijf van PCRisk.

Snelmenu:

• Wat is SparroWocky Backdoor?
• STAP 1. Handmatige verwijdering van SparroWocky Backdoor-malware.
• STAP 2. Controleer of uw computer schoon is.

Hoe verwijder ik malware handmatig?

Handmatige verwijdering van malware is een ingewikkelde taak - meestal is het het beste om antivirus- of anti-malwareprogramma's dit automatisch te laten doen. Om deze malware te verwijderen raden wij aan Combo Cleaner Antivirus voor Windows te gebruiken.

Als u malware handmatig wilt verwijderen, is de eerste stap het identificeren van de naam van de malware die u probeert te verwijderen. Hier is een voorbeeld van een verdacht programma dat op de computer van een gebruiker draait:

Als u de lijst met programma's die op uw computer draaien heeft gecontroleerd, bijvoorbeeld met behulp van taakbeheer, en een programma heeft geïdentificeerd dat er verdacht uitziet, moet u met deze stappen doorgaan:

Download een programma genaamd Autoruns. Dit programma toont automatisch startende applicaties, register- en bestandssysteemlocaties:

Start uw computer opnieuw op in de Veilige modus:

Gebruikers van Windows XP en Windows 7: Start uw computer op in de Veilige modus. Klik op Start, klik op Afsluiten, klik op Opnieuw opstarten, klik op OK. Druk tijdens het opstartproces van uw computer meerdere keren op de F8-toets op uw toetsenbord totdat u het menu Geavanceerde opties van Windows ziet, en selecteer vervolgens Veilige modus met netwerk uit de lijst.

Video die laat zien hoe u Windows 7 start in "Veilige modus met netwerk":

Gebruikers van Windows 8: Start Windows 8 op in Veilige modus met netwerk - Ga naar het startscherm van Windows 8, typ Geavanceerd, selecteer in de zoekresultaten Instellingen. Klik op Geavanceerde opstartopties, selecteer in het geopende venster "Algemene pc-instellingen" Geavanceerd opstarten.

Klik op de knop "Nu opnieuw opstarten". Uw computer wordt nu opnieuw opgestart in het "menu Geavanceerde opstartopties". Klik op de knop "Problemen oplossen" en klik vervolgens op de knop "Geavanceerde opties". Klik in het scherm met geavanceerde opties op "Opstartinstellingen".

Klik op de knop "Opnieuw opstarten". Uw pc wordt opnieuw opgestart in het scherm Opstartinstellingen. Druk op F5 om op te starten in de Veilige modus met netwerk.

Video die laat zien hoe u Windows 8 start in "Veilige modus met netwerk":

Gebruikers van Windows 10: Klik op het Windows-logo en selecteer het pictogram Energie. Klik in het geopende menu op "Opnieuw opstarten" terwijl u de "Shift"-toets op uw toetsenbord ingedrukt houdt. Klik in het venster "kies een optie" op "Problemen oplossen", selecteer vervolgens "Geavanceerde opties".

Selecteer in het menu met geavanceerde opties "Opstartinstellingen" en klik op de knop "Opnieuw opstarten". Druk in het volgende venster op de "F5"-toets op uw toetsenbord. Dit start uw besturingssysteem opnieuw op in de veilige modus met netwerk.

Video die laat zien hoe u Windows 10 start in "Veilige modus met netwerk":

Pak het gedownloade archief uit en voer het bestand Autoruns.exe uit.

Klik in de Autoruns-applicatie bovenaan op "Options" en schakel de opties "Hide Empty Locations" en "Hide Windows Entries" uit. Klik na deze procedure op het pictogram "Refresh".

Controleer de lijst die door de Autoruns-applicatie wordt verstrekt en zoek het malwarebestand dat u wilt verwijderen.

U moet het volledige pad en de naam ervan noteren. Houd er rekening mee dat sommige malware procesnamen verbergt onder legitieme Windows-procesnamen. In dit stadium is het erg belangrijk om te voorkomen dat u systeembestanden verwijdert. Nadat u het verdachte programma dat u wilt verwijderen heeft gevonden, klikt u met de rechtermuisknop op de naam ervan en kiest u "Delete".

Nadat u de malware via de Autoruns-applicatie heeft verwijderd (dit zorgt ervoor dat de malware niet automatisch wordt uitgevoerd bij de volgende systeemstart), moet u op uw computer naar de malwarenaam zoeken. Zorg ervoor dat u verborgen bestanden en mappen inschakelt voordat u doorgaat. Als u de bestandsnaam van de malware vindt, zorg er dan voor dat u deze verwijdert.

Start uw computer opnieuw op in de normale modus. Het volgen van deze stappen zou alle malware van uw computer moeten verwijderen. Houd er rekening mee dat handmatige verwijdering van bedreigingen geavanceerde computervaardigheden vereist. Als u deze vaardigheden niet heeft, laat de verwijdering van malware dan over aan antivirus- en anti-malwareprogramma's.

Deze stappen werken mogelijk niet bij geavanceerde malware-infecties. Zoals altijd is het het beste om infectie te voorkomen dan om later te proberen malware te verwijderen. Om uw computer veilig te houden, installeert u de nieuwste updates voor het besturingssysteem en gebruikt u antivirussoftware. Om er zeker van te zijn dat uw computer vrij is van malware-infecties, raden wij aan deze te scannen met Combo Cleaner Antivirus voor Windows.

Veelgestelde vragen (FAQ)

Mijn computer is geïnfecteerd met SparroWocky Backdoor-malware, moet ik mijn opslagapparaat formatteren om ervan af te komen?

Het formatteren van de schijf verwijdert SparroWocky Backdoor, maar wist ook elk bestand dat erop is opgeslagen. Het uitvoeren van een betrouwbare beveiligingstool zoals Combo Cleaner is meestal de betere eerste stap, aangezien deze de infectie kan verwijderen zonder uw gegevens te vernietigen.

Wat zijn de grootste problemen die SparroWocky Backdoor-malware kan veroorzaken?

SparroWocky Backdoor geeft aanvallers volledige controle op afstand over een geïnfecteerde machine. Ze kunnen bestanden exfiltreren, commando's uitvoeren, activiteit monitoren via screenshots en aanvullende malware inzetten - allemaal zonder medeweten van het slachtoffer.

De gevolgen daarvan omvatten langdurige systeemcompromittering, verlies van gevoelige of vertrouwelijke gegevens en mogelijke accountovername.

Wat is het doel van SparroWocky Backdoor-malware?

SparroWocky Backdoor is ontworpen voor spionage. De operators gebruiken het om persistente, heimelijke toegang tot geïnfecteerde systemen te behouden, zodat ze commando's kunnen geven, bestanden kunnen exfiltreren, screenshots kunnen maken en langdurige surveillance van doelorganisaties kunnen uitvoeren.

Hoe is SparroWocky Backdoor-malware mijn computer binnengedrongen?

De belangrijkste gedocumenteerde vector voor SparroWocky Backdoor is de uitbuiting van ProxyLogon-kwetsbaarheden in niet-gepatchte Microsoft Exchange-servers. Nadat ze toegang hebben verkregen, zetten aanvallers de backdoor in met behulp van een DLL side-loading-techniek.

Meer in het algemeen kunnen backdoors van dit type ook worden afgeleverd via phishing-e-mails, gecompromitteerde diensten voor toegang op afstand of kwaadaardige software-installatieprogramma's.

Beschermt Combo Cleaner mij tegen malware?

Ja, Combo Cleaner kan de meeste bekende malware detecteren en verwijderen, waaronder backdoors zoals SparroWocky. Het uitvoeren van een volledige systeemscan wordt aanbevolen om ervoor te zorgen dat er geen componenten van de infectie op het systeem achterblijven.