Sparrow Malware: Tiga Kampanye Spionase China Terhubung dalam Satu Ekosistem

Riset Check Point mengungkap tiga klaster spionase siber yang selama setahun terakhir menyerang telekomunikasi, pemerintah, militer, dan infrastruktur kritis di Amerika Latin, Asia, serta Eropa. Ketiganya ternyata terhubung oleh satu ekosistem malware bernama Sparrow, yang dikembangkan aktor berkode CopperDragon.

Ketiga klaster itu dilacak sebagai SilentDelivery, OceanGate, dan DarkWire. Awalnya masing-masing dianggap operasi independen dengan backdoor dan perkakas pasca-eksploitasi sendiri. Kesamaan kode dan infrastruktur membalik asumsi tersebut.

Check Point Research merilis laporan teknis pada 10 November 2026 yang memaparkan keterkaitan itu. Temuan lengkapnya dipublikasikan melalui laporan The Hacker News.

Siapa CopperDragon dan Kerangka Sparrow

CopperDragon dinilai sebagai digital quartermaster, penyedia perkakas bagi aktor-aktor ancaman berafiliasi China. Nama-nama yang disebut Check Point antara lain FamousSparrow, Earth Estries, Tropic Trooper, UAT-9244, dan UAT-8302.

"Setiap klaster memakai toolset berbeda dan teknik akses awal berbeda, termasuk mengompromikan infrastruktur yang menghadap internet dan serangan watering hole yang sangat selektif," kata Check Point dalam laporannya.

Situs yang dikompromikan untuk watering hole berasal dari sektor pemerintah, pelayaran, serta IT dan riset. Pola ini menunjukkan pengintaian lama sebelum eksekusi, bukan serangan massal.

FamousSparrow dikenal lewat backdoor SparrowDoor beserta varian Crowdoor dan TernDoor, juga SparroWocky dan HemiGate. Check Point menilai ada tumpang tindih tertentu dengan Salt Typhoon, meski sifat persis hubungan keduanya belum jelas.

Kerangka Sparrow berfungsi seperti lumbung senjata. Satu tim mengembangkan dan memelihara alat, sementara beberapa tim lain memakainya sesuai target masing-masing. Struktur ini mempersulit atribusi karena jejak kode tidak selalu mengarah ke operator yang sama.

SilentDelivery dan Jebakan Sertifikat Palsu

SilentDelivery mulai aktif awal 2026. Klaster ini menjalankan watering hole sangat selektif di Eropa dan Asia, lalu menanam backdoor SquadC alias SquawkDoor melalui installer MSI yang disamarkan sebagai utilitas perbaikan sertifikat.

Rantainya dimulai dari JavaScript terobfuskasi berat yang disuntikkan ke situs sah. Pengunjung disambut peringatan sertifikat SSL Google Chrome yang meminta mereka memasang utilitas "Certificate Fix" untuk memulihkan akses.

Check Point menemukan situs yang dikompromikan terkait sektor pemerintah, pelayaran, IT, dan riset di Republik Ceko, Jerman, Prancis, Taiwan, Nepal, Hong Kong, dan Indonesia. Laporan Positive Technologies pada Agustus 2026 juga mengindikasikan sasaran di Mesir dan Filipina.

"JavaScript yang disuntikkan ke situs yang dikompromikan diobfuskasi berat memakai jsjiami, layanan obfuskasi JavaScript yang tersedia publik," ujar Check Point.

Skrip itu memeriksa apakah pengguna menjalankan Windows dan, pada sebagian kasus, memastikan domain situs cocok dengan target. Setelah itu ia mengirim permintaan status ke server command-and-control untuk memprofiling pengguna berdasarkan IP dan geolokasi.

SquadC ditulis dalam C/C++ dan berfungsi sebagai pijakan awal di host terinfeksi. Persistensinya lewat kunci Windows Registry Run yang menyamar sebagai asisten pembaruan Windows. Malware ini juga disebar via email phishing ke organisasi Indonesia, dengan lampiran LNK menyamar sebagai PDF yang menyalahgunakan biner sah ftp.exe.

OceanGate: Dari Linux Menyeberang ke Windows

OceanGate menargetkan lingkungan Windows dan Linux sekaligus, memakai perkakas yang belum pernah didokumentasikan untuk mempertahankan akses, bergerak lateral, dan mengeksfiltrasi data sensitif.

Fase Linux melibatkan dua backdoor baru. AnnobinDoor berbasis Go dengan fitur remote access, shell interaktif, manajemen file, SOCKS proxy, SSH tunneling, port forwarding, dan reverse connection. SparrowShell adalah backdoor Linux modular yang beririsan dengan SparrowDoor versi Windows.

"Setelah memanen kredensial dari beberapa pengguna dan membangun pijakan kuat di lingkungan Linux, aktor bergerak ke lingkungan Windows," jelas Check Point. "Aktor mencoba masuk ke beberapa mesin Windows lewat RDP, mencoba berbagai kata sandi hingga berhasil terautentikasi dengan akun administrator."

Setelah itu mereka menanam perkakas pasca-eksploitasi khusus dan varian SparrowDoor. Daftarnya mencakup:

• CopperAdu — mengonfigurasi mesin Windows yang dikompromikan untuk akses administratif jarak jauh.
• CopperList — alat rekonesans untuk mengumpulkan informasi host, detail disk, dan inventaris file rekursif.
• CopperLogger — keylogger berbasis Raw Input yang juga memantau clipboard, judul jendela aktif, serta nama dan path proses.
• CopperLsa — mengumpulkan kata sandi, hash, dan token autentikasi dari NTLM dan Kerberos.

Check Point juga menemukan penyisipan kernel rootkit dan kemampuan akses level kernel ke SparrowDoor dan SparrowShell. Tujuannya menyembunyikan proses dan memanipulasi paket jaringan memakai driver WinDivert.

"Aktor menyalahgunakan driver itu untuk mengubah SparrowDoor menjadi backdoor pasif yang mencegat dan memanipulasi paket di level kernel, membuat trafiknya kurang terlihat," kata Check Point.

Backdoor itu mendengarkan di satu port internal sambil menerima koneksi lewat port eksternal seperti 443 yang sudah dipakai layanan sah. Filter ketat mencegat koneksi dari IP sumber tertentu, menulis ulang port tujuan ke port internal seperti 49628, lalu mengembalikan port sumber pada trafik respons.

SparrowShell punya kemiripan kode dan infrastruktur dengan malware Mélofée yang pertama dijelaskan ExaTrack pada Maret 2023 dan berbasis rootkit Reptile sumber terbuka. Kemiripan ini memunculkan dugaan CopperDragon juga berada di balik pengembangan dan pasokan Mélofée.

DarkWire dan Fokus Amerika Latin

Klaster ketiga berpusat di Amerika Latin dengan fokus operator telekomunikasi dan entitas pemerintah. Serangan ini menanam dua backdoor baru, CopperDoor dan CopperDNS, sebagai kemungkinan pengganti SparrowDoor.

Operasinya didukung seperangkat alat khusus. CopperLoader adalah reflective loader yang biasanya ditanam lewat DLL sideloading untuk mengirim perkakas lain. CopperDoor beroperasi di memori secara modular, sementara CopperDNS berkomunikasi lewat DNS tunneling memakai kueri MX.

Ada pula CopperProxy sebagai SOCKS5 proxy, PyProxy sebagai relay UDP ringan berbasis Python, dan CopperLsass untuk membuang proses LSASS demi pemanenan kredensial.

"Operasi ini sangat bergantung pada DLL sideloading sebagai teknik eksekusi utama, sering menyalahgunakan executable yang jarang terlihat pada aktor ancaman lain," ujar Check Point.

Untuk menekan jejak, operator sengaja tidak membuat direktori baru di disk. Perkakas mereka ditempatkan di path sistem yang sudah ada. Infrastruktur CopperDoor juga menunjukkan operational security lebih tinggi, dengan mayoritas alamat IP berada di Amerika Latin, sering di negara yang sama dengan organisasi korban.

Alexandre Côté Cyr, peneliti malware di ESET, mengatakan kepada The Hacker News bahwa aktivitas yang dikelompokkan sebagai DarkWire sesuai dengan yang mereka sebut FamousSparrow. "Tooling, infrastruktur jaringan, dan victimology DarkWire tumpang tindih dengan FamousSparrow," katanya.

Dampak dan Langkah Pengamanan

Yang membuat ekosistem Sparrow berbahaya bukan satu malware tertentu, melainkan pembagian kerja di dalamnya. Satu entitas memasok alat, operator lain memilih target dan jalur masuk. Ketika satu backdoor terdeteksi, varian lain sudah siap menggantikan.

Kemampuan rootkit di level kernel memperpanjang masa tinggal penyerang di jaringan korban. Trafik backdoor yang menyamar sebagai layanan sah di port 443 menyulitkan deteksi berbasis pemantauan jaringan biasa.

Watering hole yang menyasar situs pemerintah dan riset di Indonesia menempatkan sektor publik sebagai garis depan. Email phishing berbahasa lokal dengan lampiran LNK memperkuat dugaan operasi ini disesuaikan per negara.

Beberapa langkah mitigasi yang relevan bagi organisasi:

1. Verifikasi setiap permintaan pemasangan utilitas sertifikat atau pembaruan yang muncul dari situs web, karena peringatan SSL palsu menjadi pintu masuk SilentDelivery.
2. Batasi dan pantau penggunaan RDP, terutama percobaan login berulang dengan akun administrator dari segmen Linux.
3. Audit DLL sideloading dan pemuatan biner sah seperti ftp.exe yang dipakai untuk menjalankan skrip berbahaya.
4. Pantau kueri DNS MX tidak wajar yang bisa menandakan DNS tunneling lewat CopperDNS.
5. Perketat pemantauan driver kernel seperti WinDivert yang tidak semestinya terpasang di server produksi.

Check Point belum membeberkan jumlah korban pasti maupun volume data yang dieksfiltrasi. Yang jelas, tiga klaster ini masih aktif dalam rentang 2025 hingga 2026, dan laporan Positive Technologies soal Mesir serta Filipina menunjukkan perluasan sasaran.

Analisis Redaksi

Laporan Check Point ini layak dibaca sebagai peta rantai pasok senjata siber, bukan sekadar katalog malware. CopperDragon tidak menyerang langsung. Ia memasok alat ke beberapa tim yang bergerak dengan target dan gaya berbeda. Model bisnis semacam ini membuat atribusi resmi selalu tertinggal, karena kode yang sama bisa muncul di operasi yang secara politik tidak saling terkait.

Yang paling mengganggu adalah pilihan sasaran di sektor telekomunikasi dan pemerintah. Dua sektor itu menyimpan data pelanggan, kredensial, dan jalur komunikasi strategis. Kehadiran Indonesia dalam daftar situs yang dikompromikan, ditambah phishing berbahasa lokal, menunjukkan operasi ini tidak sekadar menyapu target global, tetapi disesuaikan per negara. Institusi publik di kawasan perlu memperlakukan insiden semacam ini sebagai ancaman berkelanjutan, bukan kasus tunggal yang selesai setelah pembersihan.

Kemampuan kernel rootkit dan penyamaran trafik di port layanan sah menunjukkan jurang kapasitas antara penyerang dan banyak organisasi korban. Deteksi berbasis tanda tangan akan selalu kalah cepat. Yang tersisa adalah disiplin dasar: kontrol akses RDP, audit sideloading, dan pemantauan anomali jaringan. Selama celah itu belum tertutup, ekosistem seperti Sparrow akan terus punya pintu masuk.

Sumber: positive-technologies.com