Eine bislang undokumentierte Cyber-Spionagekampagne mit dem Namen SilkParasite hat Regierungsbehörden in Zentralasien ins Visier genommen. Die Angreifer setzen dabei ein Arsenal von sieben verschiedenen Remote Access Tools (RATs) ein, von denen fünf zuvor völlig unbekannt waren: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT und NodeEdgeRAT. Die im späten 2025 entdeckte Operation wird mit mittlerer Sicherheit einem Bedrohungscluster mit Verbindungen nach China zugeordnet.
Fünf neue RATs und die Spur der KI-Unterstützung
Bitdefender Labs, das die Kampagne analysierte, hebt einen besonderen Aspekt hervor: SilkParasite zeigt deutliche Spuren einer KI-gestützten Entwicklung innerhalb eines ansonsten professionell geschriebenen Schadcodes. Dies unterscheidet die Operation von einfacher KI-generierter Malware. Das Sicherheitsunternehmen betont, dass das Arsenal alle klassischen Merkmale professioneller Spionagetools aufweist, die von menschlichen Entwicklern geschrieben wurden, während KI offenbar nur zur Effizienzsteigerung eingesetzt wurde.
Der eindeutigste Hinweis auf den Einsatz der Technologie findet sich in einem Phishing-Köder, der zweifelsfrei KI-generiert wurde. Interessanterweise ist dies auch die einzige Stelle, an der die Angreifer nachlässig gearbeitet haben. Dies könnte ein bewusster Versuch sein, die Attributionsbemühungen zu erschweren.
Historische Einordnung und Verbindungen nach China
SilkParasite ist der dritte prominente Akteur, der in den letzten Jahren Zentralasien angreift, nach UAC-0063 und FamousSparrow. Ein starkes Indiz für die Verbindung nach China ist der Einsatz einer Backdoor namens BLOODALCHEMY. Es handelt sich um eine aktualisierte Version des Deed RAT, der wiederum eine Weiterentwicklung von ShadowPad ist, dem Nachfolger von PlugX. Beide Schadsoftwarefamilien werden von chinesischen Hackergruppen intensiv genutzt.
BLOODALCHEMY wurde ursprünglich im Oktober 2023 von Elastic Security Labs dokumentiert. Die in C geschriebene Backdoor war Teil von Angriffen der Gruppe REF5961 auf Regierungsorganisationen in Süd- und Südostasien. Die Malware unterstützt grundlegende Befehle zur Sammlung von Host-Informationen, zum Überschreiben der eigenen Binärdatei sowie zur Deinstallation. Ein weiteres Indiz für die China-Verbindung ist der Einsatz einer aktualisierten Version von SpiceRAT, das der Gruppe SneakyChef zugeschrieben wird und zum Ausführen von Binärdateien und Kommandos fähig ist.
Angriffsvektor: Makros, Archiv-Passwörter und Kaspersky-Check
Die Angriffsketten beginnen mit passwortgeschützten RAR-Archiven, die bösartige Microsofta-Office-Dokumente enthalten. Diese werden vermutlich über Spear-Phishing-E-Mails zugestellt. Das Passwort zum Öffnen des Archivs wird im E-Mail-Text mitgeliefert. Beim Öffnen des Dokuments wird ein Makro gestartet, das eine DLL-Sideloading-Sequenz auslöst und die erste Schadsoftware-Stufe auf dem System ablegt.
Die Köderdokumente waren regional maßgeschneidert. Die Analysten fanden Dokumente, die scheinbar von Regierungsbehörden in Usbekistan, Turkmenistan, Kirgisistan, Tadschikistan und Kasachstan stammten und sogar konkrete Ministerien imitierten. Ein weiteres, auf einer öffentlichen Malware-Plattform gefundenes Dokument richtete sich an eine georgische Regierungsbehörde. Ein besonders bemerkenswertes Detail: Das Makro prüft vor der Ausführung, ob die Antivirensoftware von Kaspersky auf dem Zielsystem installiert ist und läuft. Dies ist ein klarer Hinweis auf den Versuch, die weit verbreitete Sicherheitssoftware in der Region zu umgehen.
Die fünf neuen RATs im Detail
Fast jedes eingesetzte Werkzeug verwendet eine Plugin-basierte Architektur. Dies erlaubt es den Betreibern, die Funktionalität jederzeit zu erweitern, gezielt Schadsoftware an die Umgebung des Opfers anzupassen und die Erkennungsspur gering zu halten. Das modulare System bietet den Vorteil, dass Komponenten aktualisiert werden können, ohne die Basisinfrastruktur auszutauschen.
- DriveSilkRAT (.NET/C++): Nutzt Google Drive als Command-and-Control (C2)-Kanal. Es durchsucht einen bestimmten Ordner nach Aufgaben, führt diese mittels eines In-Memory-Plugin-Systems aus und lädt die Ergebnisse zurück. Es unterstützt zwölf Plugins für Prozessauflistung, System- und Netzwerkerkundung, Dateimanagement und Befehlsausführung.
- CookiETagRAT (C++): Verwendet HTTP-Cookie- und ETag-Response-Header als C2-Kanal, um Befehle zu empfangen und auszuführen.
- NomadRAT (C++): Besteht aus einem Haupt-Orchestrator, einer dedizierten Transmitter-Bibliothek für den C2-Verkehr und Plugins, die nur bei Bedarf anhand numerischer IDs vom Server geladen werden.
- GoginRAT (Go): Weist architektonische Ähnlichkeiten mit NomadRAT auf und verwendet einen separaten Transmitter für die C2-Kommunikation. Dateisystem- und Shell-Funktionen sind als unabhängige Plugins implementiert, deren Ergebnisse über einen gemeinsamen Callback zurückgespielt werden.
- NodeEdgeRAT (JavaScript): Enthält die gesamte Funktionalität – Befehlsausführung, Dateimanagement und Dateitransfer – als ein einziges Skript.
Bitdefender beobachtete rund 65 mit DriveSilkRAT infizierte Systeme, die sich größtenteils in der asiatischen Region befinden.
Analyse: KI-Spuren in der Codebasis
Hinweise auf KI-Unterstützung zeigen sich konkret in GoginRAT, das Go-Testfunktionen und einen fest codierten AES-Schlüssel „0123456789abcdef“ enthält, sowie in NodeEdgeRAT, das ein Konfigurationsfeld für einen Verschlüsselungsschlüssel mit dem Wert „change_this_key“ aufweist. Ein weiteres Indiz: NomadRAT und GoginRAT teilen sich eine fast identische Architektur, was darauf hindeutet, dass ein einzelnes High-Level-Design zweimal in zwei Sprachen implementiert wurde – eine Aufgabe, die durch KI-gestützte Arbeitsabläufe skalierbar wird.
Bedeutung für die Sicherheitsbranche
Die konsistenteste Erkennungsmöglichkeit der gesamten Kampagne ist das DLL-Sideloading. Das zuverlässigste Signal ist hierbei nicht der DLL-Name allein, sondern die Kombination: Eine legitim signierte Anwendung, die eine Bibliothek lädt, die neben ihr platziert wurde und von einem ungewöhnlichen Speicherort aus gestartet wird. Plugin-basierte Implantate mit geringer Fußspur, die über legitime Cloud-Dienste kommunizieren, sind mit volumenbasierten Erkennungsmethoden nur schwer zu fassen. Eine verlässliche Erkennung erfordert Verhaltens-Baselines, die ungewöhnliche Beziehungen zwischen Prozessen und Netzwerkdiensten markieren, anstatt sich auf Signaturen einzelner Artefakte zu verlassen.
