Gare au SparroWocky : une porte dérobée qui doit interpeller l'Europe et la Belgique
Des chercheurs chez Eset ont découvert une nouvelle porte dérobée modulaire déployée par le groupe FamousSparrow : SparroWocky. Si les premières victimes se situent en Amérique latine, la sophistication technique de l’outil et l’historique du groupe doivent alerter les organisations européennes et belges. Car cette menace persistante avancée (APT) ne se contente pas de rôder, elle mord.
Le nom de la nouvelle menace APT n’a rien d’un hasard. En intégrant la première strophe du poème « Jabberwocky » de Lewis Carroll dans le code de leur nouveau maliciel, les pirates de FamousSparrow (un groupe de cyberespionnage aligné sur la Chine) ont voulu marquer les esprits. Mais derrière la référence au livre Alice au pays des merveilles se cache une réalité technique bien redoutable.
Une architecture conçue pour l’ombre
SparroWocky n’est pas un simple script. Il s’agit d’une porte dérobée modulaire en C++, conçue avec une maîtrise impressionnante des mécanismes internes de Windows et des techniques anti-analyse. Sa capacité à intégrer directement du code open source et à exécuter des « Beacon Object Files » (BOF) — des outils prisés par les équipes de red teaming pour tester les intrusions — en fait une arme de choix pour l’espionnage de haut vol.
Une fois en place, le maliciel est capable d’exfiltrer des fichiers, de prendre des captures d’écran et d’agir comme un proxy TCP, tout en chiffrant ses communications via TLS. Il est conçu pour durer, pour s’infiltrer et pour rester invisible.
Pourquoi l’Europe et la Belgique doivent rester vigilantes
Bien que les chercheurs d’ESET aient observé une concentration de 90 % des attaques en Amérique latine entre mi-2025 et 2026, rien ne dit que les activistes de FamousSparrow se cantonneront à cette région du monde. Ce groupe, actif depuis au moins 2019, a un historique mondial : hôtels, gouvernements, organisations internationales, cabinets d’avocats et sociétés d’ingénierie ont déjà été ses cibles.
Le risque pour les organisations européennes et belges est donc triple :
-FamousSparrow a prouvé sa capacité à évoluer. Le passage de l’utilisation d’outils tiers à l’intégration directe de code open source dans SparroWocky montre une montée en compétence rapide. Ce qui est testé aujourd’hui en Amérique latine peut être déployé demain sur d’autres théâtres d’opérations.
-Le réseau criminel ne cherche pas le profit immédiat, mais l’information stratégique. La Belgique, carrefour des institutions européennes, de l’OTAN et pôle majeur pour les secteurs de l’énergie et des télécommunications, correspond exactement au profil des cibles privilégiées par ce groupe.
- FamousSparrow utilise l’espionnage comme outil géopolitique. Il agit en Amérique latine pour anticiper les réactions des gouvernements face aux pressions des Etats-Unis. En Europe, le groupe pourrait tout aussi bien chercher à surveiller les positions des États membres sur des dossiers commerciaux ou énergétiques sensibles.
N’attendez pas d’être mordu !
Le danger avec SparroWocky réside dans sa capacité à « piéger » les commandes. En manipulant les structures mémoire de bas niveau, il contourne les solutions de sécurité classiques. Pour les responsables de la sécurité IT en Belgique, la surveillance périmétrique ne suffit plus. Car FamousSparrow a déjà démontré par le passé sa capacité à exploiter des vulnérabilités critiques (comme ProxyLogon en 2021) pour pénétrer des réseaux protégés.
Etant donné que le groupe affine ses techniques de persistance et d’exfiltration, les organisations européennes doivent renforcer leur détection comportementale. Il ne s’agit plus seulement de bloquer des signatures connues, mais de surveiller les anomalies dans l’exécution des processus et les interactions mémoire.
L’appétit de SparroWock pour les données stratégiques ne connaît pas de frontières. Gare à celui qui sous-estime la bête.
SAVE THE DATE - October 15, 2026 Hi Site, Grimbergen (Brussels)
