Chinesische Spionage: UTA0560 nutzt Chrome-Lücken gegen NGOs
Veröffentlicht am: 17.09.2026 um 23:14 Uhr | Redaktion boerse-global.de
Staatlich gesteuerte Cyberspionage aus China zielt derzeit auf internationale NGOs und Regierungsstellen in Lateinamerika. Im Fokus: die Gruppe UTA0560 und eine neue Backdoor namens SparroWocky.
UTA0560 nutzt Chrome- und Windows-Lücken
Die Gruppierung UTA0560 hat eine Spear-Phishing-Kampagne gestartet. Sie verbreitet die JavaScript-Backdoor GRIMWEDGE über Sicherheitslücken in Google Chrome und Microsoft Windows.
Das Perfide: Für die Lücken gibt es längst Patches. Die Angreifer nutzen das Zeitfenster, in dem Systeme noch nicht vollständig aktualisiert sind. Ein klassisches Race gegen die Admins – und die Angreifer gewinnen es offenbar zu oft.
Ziel der Operation sind laut Berichten vom September 2026 vor allem NGOs. Die Sicherheitsfirma Volexity verfolgt UTA0560 und identifizierte GRIMWEDGE als zentrales Werkzeug für den unbefugten Fernzugriff.
FamousSparrow: Seit 2019 im Einsatz
Parallel dazu liefern IT-Sicherheitsforscher von ESET detaillierte Einblicke in eine zweite Gruppe. FamousSparrow gehört ebenfalls zum chinesischen APT-Spektrum und setzt seit mindestens August 2025 eine neue Backdoor ein: SparroWocky, geschrieben in C++.
Angriffe wie diese verdeutlichen, dass veraltete Software das größte Einfallstor für Cyberkriminelle darstellt. Dieser kostenlose Report zeigt Ihnen, wie Sie durch die richtigen Updates Sicherheitslücken schließen und Ihre Daten effektiv schützen. Android-Updates installieren und Sicherheitslücken schließen
Die Kampagne richtet sich vornehmlich gegen staatliche Institutionen in Zentral- und Südamerika. Betroffen sind Argentinien, Ecuador, Guatemala, Honduras, Panama, Peru, Puerto Rico und Venezuela. Zwischen Mitte 2025 und 2026 lagen rund 90 Prozent der Angriffsziele in Lateinamerika.
FamousSparrow ist seit mindestens 2019 aktiv. Anfangs konzentrierte sich die Gruppe auf den Hotelsektor, später weitete sie ihr Zielspektrum auf Regierungen, Handelsvereinigungen und Anwaltskanzleien aus. In Fachkreisen wird sie zudem mit der Gruppierung Salt Typhoon in Verbindung gebracht.
Wie SparroWocky funktioniert
Die Backdoor SparroWocky ersetzt die bisher genutzte Schadsoftware SparrowDoor. Der Zugang zu den Zielnetzwerken läuft laut ESET häufig über öffentlich erreichbare Microsoft-Exchange-Server.
Ein am 17. November 2025 kompiliertes Sample der Version 1.8 (SHA-1: 44F0A22B143B79FA760BF31E14C8FFF714C8A2A1) gibt Aufschluss über die Funktionsweise. SparroWocky nutzt Komponenten wie Mbed TLS, MinHook, einen COFF-Loader und eine Variante des Tools SilentMoonwalk.
Die Kommunikation mit den Befehlsservern (Command-and-Control, C2) erfolgt verschlüsselt über TLS, meist über Port 443 oder alternativ Port 8080. Die Exfiltration der Daten läuft per RC4-Verschlüsselung über TLS-Verbindungen.
Wer sich gegen professionelle Ausspäh-Versuche absichern möchte, muss die gängigen Methoden der Angreifer kennen. Dieser kostenlose PDF-Ratgeber bietet IT-Sicherheitswissen, um das eigene System in wenigen Schritten zur Festung gegen Hacker zu machen. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen
Die Forscher identifizierten mindestens 18 C2-Adressen, darunter die IP 216.238.110.120. Die Backdoor beherrscht rund 30 Befehle und kann sogenannte Beacon Object Files laden.
Geheimdienstliche Motive
ESET-Forscher Alexandre Côté Cyr beobachtet die Kampagne seit über einem Jahr. Sein Fazit: Die Operation dient primär der Beschaffung von Geheimdienstinformationen.
Konkret geht es den Akteuren darum, zu erfahren, wie lateinamerikanische Staaten auf politischen Druck aus den USA reagieren. Der Name SparroWocky ist eine Anlehnung an das Gedicht Jabberwocky von Lewis Carroll – eine Spitze, die die Angreifer wohl bewusst gesetzt haben.
