Źródło: unsplash.com/photos/C5pXRFEjq3w
Nieopisana wcześniej operacja cyberszpiegowska SilkParasite została wymierzona w instytucje rządowe w Azji Centralnej. Analitycy Bitdefender Labs zidentyfikowali w jej ramach siedem rodzin zdalnych narzędzi dostępu, RAT, z których pięć nie było wcześniej publicznie udokumentowanych. Są to DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT i NodeEdgeRAT.
SilkParasite po raz pierwszy wykryto pod koniec 2025 roku. Bitdefender ocenia z umiarkowaną pewnością, że klaster zagrożeń jest powiązany z Chinami. Wskazują na to między innymi użycie zaplecza znanego z wcześniejszych operacji przypisywanych chińskojęzycznym grupom oraz obecność narzędzi BLOODALCHEMY i zaktualizowanej wersji SpiceRAT. Sama atrybucja nie jest jednak przedstawiana jako całkowicie pewna.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Brak komentarzy. Bądź pierwszy!
Łańcuch ataku rozpoczynał się od chronionego hasłem archiwum RAR zawierającego złośliwy dokument Microsoft Office. Hasło było przekazywane w treści wiadomości spear-phishingowej. Otwarcie dokumentu uruchamiało makro, które inicjowało DLL sideloading i prowadziło do dostarczenia pierwszego etapu złośliwego oprogramowania. Odzyskane dokumenty przygotowano tak, aby wyglądały na związane z administracją Uzbekistanu, Turkmenistanu, Kirgistanu, Tadżykistanu i Kazachstanu. Część z nich podszywała się pod konkretne ministerstwa, a inny dokument był skierowany do instytucji rządowej w Gruzji.
Jednym z elementów kampanii było sprawdzanie, czy na komputerze działa oprogramowanie antywirusowe Kaspersky. Według analityków może to wskazywać na próbę ograniczenia wykrywania w środowiskach, w których ten produkt jest często używany. Nie oznacza to jednak, że sam fakt obecności tego programu prowadzi do infekcji. Sprawdzenie było częścią logiki złośliwego dokumentu przed uruchomieniem dalszych etapów.
Narzędzia SilkParasite korzystają przede wszystkim z DLL sideloadingu. Operatorzy dostarczają własną kopię legalnie podpisanego programu i umieszczają obok niej bibliotekę o nazwie oczekiwanej przez plik wykonywalny. W efekcie legalny program może uruchomić złośliwy kod, choć sama biblioteka pochodzi z innego źródła. Bitdefender wskazuje, że skutecznym sygnałem ostrzegawczym jest nie sama nazwa DLL, lecz połączenie legalnie podpisanego programu, biblioteki znajdującej się obok niego i nietypowej lokalizacji uruchomienia.
Prawie każde narzędzie użyte w kampanii ma architekturę pluginową. Dzięki temu operatorzy mogą rozszerzać funkcje implantów, dobierać komponenty do konkretnej ofiary i utrzymywać niewielki ślad wykrywania. Siedem implantów napisano w czterech językach programowania: .NET, C++, Go i JavaScript. Analitycy zauważyli również oznaki wspomagania procesu tworzenia przez AI. Nie chodzi o całkowicie wygenerowane złośliwe oprogramowanie, lecz o profesjonalne narzędzia tworzone przez ludzi, przy możliwym wykorzystaniu AI do przyspieszenia pracy. Najwyraźniejszym przykładem użycia AI ma być treść jednej z przynęt phishingowych.
W kampanii wykorzystano także BLOODALCHEMY, backdoor będący zaktualizowaną wersją Deed RAT. To narzędzie jest łączone z linią rozwijaną od ShadowPad i PlugX, które były szeroko używane przez chińskie grupy hakerskie. Z kolei SpiceRAT może pobierać i uruchamiać pliki wykonywalne oraz wykonywać dowolne polecenia. Zdaniem Bitdefender niskoprofilowe, modułowe implanty korzystające z legalnych usług sieciowych mogą omykać się detekcji opartej wyłącznie na sygnaturach. Obrona wymaga także obserwowania nietypowych relacji między procesami, lokalizacją plików i usługami sieciowymi.