{"id":49419,"date":"2026-08-19T16:21:32","date_gmt":"2026-08-19T14:21:32","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=49419"},"modified":"2026-08-19T16:21:32","modified_gmt":"2026-08-19T14:21:32","slug":"silkparasite-spionagekampagne-zentralasien-49419","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/silkparasite-spionagekampagne-zentralasien-49419\/","title":{"rendered":"SilkParasite-Spionagekampagne attackiert Zentralasien mit f\u00fcnf neuen RATs"},"content":{"rendered":"

Eine bislang undokumentierte Cyber-Spionagekampagne mit dem Namen SilkParasite<\/strong> hat Regierungsbeh\u00f6rden in Zentralasien ins Visier genommen. Die Angreifer setzen dabei ein Arsenal von sieben verschiedenen Remote Access Tools (RATs) ein, von denen f\u00fcnf zuvor v\u00f6llig unbekannt waren: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT und NodeEdgeRAT. Die im sp\u00e4ten 2025 entdeckte Operation wird mit mittlerer Sicherheit einem Bedrohungscluster mit Verbindungen nach China zugeordnet.<\/p>\n

F\u00fcnf neue RATs und die Spur der KI-Unterst\u00fctzung<\/h2>\n

Bitdefender Labs, das die Kampagne analysierte, hebt einen besonderen Aspekt hervor: SilkParasite<\/strong> zeigt deutliche Spuren einer KI-gest\u00fctzten Entwicklung innerhalb eines ansonsten professionell geschriebenen Schadcodes. Dies unterscheidet die Operation von einfacher KI-generierter Malware. Das Sicherheitsunternehmen betont, dass das Arsenal alle klassischen Merkmale professioneller Spionagetools aufweist, die von menschlichen Entwicklern geschrieben wurden, w\u00e4hrend KI offenbar nur zur Effizienzsteigerung eingesetzt wurde.<\/p>\n

Der eindeutigste Hinweis auf den Einsatz der Technologie findet sich in einem Phishing-K\u00f6der, der zweifelsfrei KI-generiert wurde. Interessanterweise ist dies auch die einzige Stelle, an der die Angreifer nachl\u00e4ssig gearbeitet haben. Dies k\u00f6nnte ein bewusster Versuch sein, die Attributionsbem\u00fchungen zu erschweren.<\/p>\n

Historische Einordnung und Verbindungen nach China<\/h3>\n

SilkParasite<\/strong> ist der dritte prominente Akteur, der in den letzten Jahren Zentralasien angreift, nach UAC-0063<\/strong> und FamousSparrow<\/strong>. Ein starkes Indiz f\u00fcr die Verbindung nach China ist der Einsatz einer Backdoor namens BLOODALCHEMY<\/strong>. Es handelt sich um eine aktualisierte Version des Deed RAT, der wiederum eine Weiterentwicklung von ShadowPad<\/strong> ist, dem Nachfolger von PlugX<\/strong>. Beide Schadsoftwarefamilien werden von chinesischen Hackergruppen intensiv genutzt.<\/p>\n

BLOODALCHEMY<\/strong> wurde urspr\u00fcnglich im Oktober 2023 von Elastic Security Labs dokumentiert. Die in C geschriebene Backdoor war Teil von Angriffen der Gruppe REF5961<\/strong> auf Regierungsorganisationen in S\u00fcd- und S\u00fcdostasien. Die Malware unterst\u00fctzt grundlegende Befehle zur Sammlung von Host-Informationen, zum \u00dcberschreiben der eigenen Bin\u00e4rdatei sowie zur Deinstallation. Ein weiteres Indiz f\u00fcr die China-Verbindung ist der Einsatz einer aktualisierten Version von SpiceRAT<\/strong>, das der Gruppe SneakyChef<\/strong> zugeschrieben wird und zum Ausf\u00fchren von Bin\u00e4rdateien und Kommandos f\u00e4hig ist.<\/p>\n

Angriffsvektor: Makros, Archiv-Passw\u00f6rter und Kaspersky-Check<\/h2>\n

Die Angriffsketten beginnen mit passwortgesch\u00fctzten RAR-Archiven, die b\u00f6sartige Microsoft<\/a>a-Office-Dokumente enthalten. Diese werden vermutlich \u00fcber Spear-Phishing-E-Mails zugestellt. Das Passwort zum \u00d6ffnen des Archivs wird im E-Mail-Text mitgeliefert. Beim \u00d6ffnen des Dokuments wird ein Makro gestartet, das eine DLL-Sideloading-Sequenz ausl\u00f6st und die erste Schadsoftware-Stufe auf dem System ablegt.<\/p>\n

Die K\u00f6derdokumente waren regional ma\u00dfgeschneidert. Die Analysten fanden Dokumente, die scheinbar von Regierungsbeh\u00f6rden in Usbekistan, Turkmenistan, Kirgisistan, Tadschikistan und Kasachstan stammten und sogar konkrete Ministerien imitierten. Ein weiteres, auf einer \u00f6ffentlichen Malware-Plattform gefundenes Dokument richtete sich an eine georgische Regierungsbeh\u00f6rde. Ein besonders bemerkenswertes Detail: Das Makro pr\u00fcft vor der Ausf\u00fchrung, ob die Antivirensoftware von Kaspersky auf dem Zielsystem installiert ist und l\u00e4uft. Dies ist ein klarer Hinweis auf den Versuch, die weit verbreitete Sicherheitssoftware in der Region zu umgehen.<\/p>\n

Die f\u00fcnf neuen RATs im Detail<\/h2>\n

Fast jedes eingesetzte Werkzeug verwendet eine Plugin-basierte Architektur. Dies erlaubt es den Betreibern, die Funktionalit\u00e4t jederzeit zu erweitern, gezielt Schadsoftware an die Umgebung des Opfers anzupassen und die Erkennungsspur gering zu halten. Das modulare System bietet den Vorteil, dass Komponenten aktualisiert werden k\u00f6nnen, ohne die Basisinfrastruktur auszutauschen.<\/p>\n