Uma operação de ciberespionagem até então não reportada, batizada de SilkParasite, foi observada mirando órgãos governamentais da Ásia Central.
O conjunto de intrusões faz uso de sete famílias de trojans de acesso remoto (RAT), sendo que cinco delas nunca haviam sido documentadas: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT e NodeEdgeRAT. Identificado pela primeira vez no fim de 2025, o SilkParasite é avaliado com confiança média como um cluster de ameaça com ligação à China.
“O que torna o SilkParasite interessante são os indícios de desenvolvimento assistido por IA correndo por um código que, de outra forma, é especializado, algo diferente de malware gerado por IA”, afirmou a Bitdefender Labs em um relatório técnico compartilhado com o portais de noticías.
Ao contrário de outras operações que dependem de malware gerado por IA, o arsenal do SilkParasite exibe todas as características normalmente associadas a ferramentas de espionagem profissional, desenvolvidas por uma equipe de operadores humanos, embora a IA provavelmente tenha sido usada para agilizar o processo.
A empresa romena de cibersegurança disse que o sinal mais claro do uso da tecnologia aparece em uma isca de phishing que é, sem dúvida, gerada por IA. Também é o único ponto em que o adversário parece ter sido descuidado, o que levantou a possibilidade de que isso tenha sido uma escolha deliberada para confundir os esforços de atribuição.
O SilkParasite é o terceiro grande threat actor a atacar a Ásia Central nos últimos anos, depois de UAC-0063 e FamousSparrow. Um aspecto notável que conecta a operação à China é o uso de um backdoor batizado BLOODALCHEMY, que é uma versão atualizada do Deed RAT, por sua vez sucessor do ShadowPad. O ShadowPad, por sua vez, é uma evolução do PlugX. Tanto ShadowPad quanto PlugX são amplamente usados por grupos de hackers chineses.
Documentado pela primeira vez pela Elastic Security Labs em outubro de 2023, o BLOODALCHEMY foi observado como parte de ataques conduzidos pela REF5961 contra organizações governamentais no sul e no sudeste da Ásia. O backdoor em C faria parte de um conjunto mais amplo de ferramentas, carregado por meio de um loader de DLL sideloading usando um binário legítimo.
O malware aceita comandos básicos para coletar informações do host, sobrescrever o binário do malware, o loader ou o binário principal confiável, vulnerável ao DLL sideloading, além de encerrar sua execução e se desinstalar.
Outro indício que aponta para uma ligação com a China é o uso de uma versão atualizada do SpiceRAT, equipada para baixar e executar binários executáveis e comandos arbitrários. Ele é atribuído a outro threat actor de língua chinesa, codinome SneakyChef.
As cadeias de ataque começam com arquivos RAR protegidos por senha, contendo documentos maliciosos do Microsoft Office, provavelmente entregues por e-mails de spear phishing. A senha para abrir o arquivo é informada no corpo da mensagem. Ao abrir o documento, uma macro é executada e dispara uma sequência de DLL sideloading para liberar o payload da primeira etapa.
“As iscas foram adaptadas regionalmente”, disse a Bitdefender. “Os documentos recuperados foram elaborados para parecer relevantes a entidades governamentais no Uzbequistão, Turcomenistão, Quirguistão, Tadjiquistão e Cazaquistão, e vários deles se passavam por ministérios específicos. Outro documento, recuperado de uma plataforma pública de compartilhamento de malware, era direcionado a uma entidade governamental da Geórgia.”
Talvez mais significativo seja o fato de a macro verificar se o antivírus da Kaspersky está instalado e em execução na máquina antes da execução. Isso indica tentativas de burlar a detecção, dada a ampla presença desse programa de segurança na região.
Praticamente todas as ferramentas implantadas ao longo do ataque usam uma arquitetura orientada a plugin, o que permite aos operadores ampliar seus recursos quando quiserem, ao mesmo tempo em que entregam payloads de forma seletiva, para se adaptar melhor ao ambiente da vítima e reduzir a superfície de detecção.
Além disso, o sistema modular oferece outra vantagem importante, pois permite aos threat actors atualizar os recursos dos componentes sem precisar substituir as bases subjacentes. Os sete implantes abrangem quatro linguagens de programação, .NET, C++, Go e JavaScript, e usam DLL sideloading como principal vetor de entrega.
A abordagem consiste em levar sua própria cópia de um programa devidamente assinado, em vez de aproveitar um binário já instalado, e colocar a DLL maliciosa com um nome que o executável procura, fazendo com que o código malicioso seja executado. A seguir, uma breve descrição de cada uma das famílias de malware:
DriveSilkRAT (.NET/C++), que usa o Google Drive como command-and-control (C2) para consultar uma pasta específica em busca de tarefas, processá-las por meio de um sistema de plugin .NET em memória e enviar os resultados da execução de volta à mesma pasta. Ele oferece suporte a 12 plugins para listagem de processos, enumeração do sistema e da rede, gerenciamento de arquivos e execução de comandos.
CookiETagRAT (C++), que usa os cabeçalhos HTTP Cookie / ETag das respostas como C2 para receber e executar comandos.
NomadRAT (C++), que conta com um orquestrador principal, uma biblioteca transmissora dedicada que lida com todo o tráfego C2 e plugins obtidos do servidor por meio de identificadores numéricos, apenas quando necessários.
GoginRAT (Go), que tem semelhanças arquiteturais com o NomadRAT e usa um transmissor separado para C2, além de implementar recursos de sistema de arquivos e shell como plugins independentes. Os resultados da execução dos plugins são encaminhados por meio de um callback compartilhado.
NodeEdgeRAT (JavaScript), que entrega toda a sua funcionalidade, incluindo execução de comandos, gerenciamento de arquivos e transferência de arquivos, em um único script.
A Bitdefender informou ter observado cerca de 65 casos infectados com o DriveSilkRAT, a maioria localizada na região da Ásia.
Sinais que sugerem algum grau de assistência de IA aparecem no GoginRAT, que inclui funções de teste em Go e uma chave AES hardcoded definida como “0123456789abcdef”, e no NodeEdgeRAT, que traz um campo de configuração para uma chave de criptografia definida literalmente como “change_this_key”. Outro indício de uso de IA é que NomadRAT e GoginRAT compartilham uma arquitetura semelhante, o que sugere que um único projeto de alto nível foi implementado duas vezes em duas linguagens, algo que poderia ter sido escalado com fluxos de trabalho assistidos por IA.
“O ponto de detecção mais consistente em toda a campanha é o DLL sideloading, e o sinal confiável é a combinação, não apenas o nome da DLL: um aplicativo legitimamente assinado carregando uma biblioteca posicionada ao seu lado enquanto executa a partir de um local incomum”, disse a Bitdefender.
“De forma mais ampla, implantes de baixo impacto e baseados em plugins, operando por meio de serviços legítimos de cloud, são mal atendidos por detecção baseada em volume. Detectá-los com confiabilidade exige linhas de base comportamentais que identifiquem relações incomuns entre processos e serviços de rede, em vez de assinaturas de um único artefato.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...