عودة من شبكة مؤسسة مالية
في يوليو 2024، أثناء مساعدة مؤسسة أمريكية تمثل قطاعًا ماليًا على معالجة اختراق، عثرت ESET على أدوات FamousSparrow داخل شبكتها. لم تكن الشركة قد رصدت مجرد نسخة قديمة عادت إلى العمل؛ ظهرت نسختان غير موثقتين من SparrowDoor، الباب الخلفي المميز للمجموعة. ونشرت التحقيق في مارس 2025، بعد أن وسعت التتبع إلى مؤسسة بحثية في المكسيك وأنشطة أخرى. أعادت تلك الوقائع مجموعة ظن بعض المتابعين أنها خفتت إلى دائرة الرصد، وأظهرت أن أدواتها كانت تتغير خلال غياب التقارير العلنية.
خريطة الاستهداف تضيق
بحلول يوليو 2025 على الأقل، أخذت خريطة الأهداف تتجه بصورة شبه حصرية إلى أمريكا اللاتينية. وفي إعلان نشرته ESET في 17 سبتمبر 2026، قالت إن نحو تسعين بالمئة من الأهداف التي سجلتها رؤيتها التقنية منذ منتصف 2025 كانت في المنطقة. شملت الجهات الحكومية المرصودة دولًا مثل الأرجنتين والإكوادور وغواتيمالا وهندوراس وبنما وبيرو وفنزويلا، إضافة إلى بورتوريكو. تصف النسبة ما استطاعت الشركة رصده؛ فهي لا تمثل تعدادًا كاملًا لكل ضحايا المجموعة، لكنها توثق تغيرًا جغرافيًا واضحًا في العينة المتاحة للباحثين.
باب خلفي يستبدل سلفه
رافق هذا التحول ظهور SparroWocky منذ أغسطس 2025. الأداة عائلة مستقلة كتبت بلغة C++، ثم أخذت مكان SparrowDoor بوصفها الزرعة الرئيسية. وجد الباحثون داخل بعض العينات مقطعًا من قصيدة Jabberwocky، واستعاروا منه الاسم. وراء الإشارة الأدبية برنامج يلتقط الشاشة وينقل الملفات وينفذ مهام إضافية، مع حيل لإخفاء التنفيذ في الذاكرة. وبدل تشغيل الأدوات المفتوحة المصدر إلى جواره فقط، دمج المطورون بعض شيفراتها في بنائه، مما يوضح كيف يمكن لمكونات متاحة للجميع أن تدخل ضمن أداة تجسس مخصصة.
ملفات حكومة في سياق نزاع
اكتسبت الخريطة معنى أوضح عند إحدى الجهات البنمية المستهدفة. ربطتها ESET بنزاع تجاري يتعلق بميناءين في منطقة قناة بنما كانت تشغلهما شركة مقرها الصين. قد تمنح ملفات جهة مشاركة في النزاع معلومات مبكرة عن الخيارات الحكومية، ولهذا رجح الباحثون أن الاستهداف يخدم متابعة تلك الخيارات. يظل الغرض المحدد استنتاجًا مبنيًا على موقع الضحية والسياق السياسي. لا يثبت التقرير الحصول على وثيقة بعينها، أو صدور تكليف رسمي بشأن الموانئ، لكنه يبين لماذا تختلف قيمة الجهاز المستهدف باختلاف عمل صاحبه.
الدليل الذي يصل الأداة بالمجموعة
استند إسناد الزرعة الجديدة إلى دليل تقني يتجاوز تشابه الخريطة. ففي بعض الهجمات الأولى، تولى SparrowDoor المعروف نشر SparroWocky، كما تكرر الاستهداف في مؤسسات سبق أن وصلتها أدوات المجموعة. لذلك أعلنت ESET ثقة عالية في ربط النشاط بـ FamousSparrow. وفي الوقت نفسه، أبقت الاسم منفصلًا عن Salt Typhoon، ولم تحسم طبيعة علاقته بـ Earth Estries. اكتمل بذلك جانب من التحقيق وبقي آخر مفتوحًا: أمكن تتبع انتقال المشغّل بين أداتين، بينما لم تسمح الأدلة بضم كل الأسماء المتداولة إلى جهة واحدة.