SilkParasite spia i governi dell’Asia Centrale con sette RAT e sviluppo assistito dall’AI

🛡️ Executive Summary

• SilkParasite prende di mira enti governativi dell’Asia Centrale tramite documenti Office malevoli, spear phishing e DLL sideloading con applicazioni firmate.
• Bitdefender identifica sette famiglie RAT, cinque inedite, con architetture modulari, esecuzione in memoria e Google Drive utilizzato come canale C2.
• Il threat hunting deve concentrarsi su sideloading anomalo, traffico Google Drive non richiesto, task pianificati sospetti e comportamenti dei processi firmati.

Bitdefender Labs ha ricostruito una vasta operazione di cyber spionaggio denominata SilkParasite, attribuita con confidenza media a un ecosistema China-nexus e indirizzata soprattutto contro organismi governativi dell’Asia Centrale coinvolti nelle decisioni economiche. L’indagine ha portato all’identificazione di sette famiglie di Remote Access Trojan, cinque delle quali precedentemente sconosciute: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT e NodeEdgeRAT, affiancate dai già noti SpiceRAT e BloodAlchemy. La campagna combina spear phishing, DLL sideloading, payload eseguiti in memoria, infrastrutture cloud legittime e un modello di sviluppo professionale nel quale i ricercatori hanno individuato anche tracce compatibili con assistenza dell’intelligenza artificiale, senza però descrivere il malware come generato autonomamente da AI.

SilkParasite prende di mira i governi dell’Asia Centrale

L’operazione è emersa dopo una compromissione individuata verso ottobre 2025 all’interno di un ente governativo dell’Asia Centrale impegnato nella definizione di politiche economiche. Quella singola infezione, inizialmente associata a SpiceRAT e DriveSilkRAT, ha aperto una fase di threat hunting durata mesi e ha permesso di ricostruire un ecosistema composto da sette RAT distinti, un’infrastruttura mantenuta nel tempo e una pipeline di sviluppo e packaging professionale. Nel rapporto di Bitdefender Labs dedicato a SilkParasite i ricercatori collegano l’attività, con confidenza media, a un attore China-nexus sulla base di victimologia, infrastrutture, tecniche e sovrapposizioni con malware precedentemente associati a gruppi cinesi. L’attribuzione resta volutamente prudente: Bitdefender non ritiene sufficienti gli elementi raccolti per assegnare l’intera operazione a un singolo gruppo conosciuto. Il contesto regionale è però coerente con un crescente interesse cinese verso Uzbekistan, Turkmenistan, Kirghizistan, Tagikistan e Kazakistan, dove la competizione economica e strategica si è intensificata parallelamente alla riduzione dell’influenza russa. Lo stesso ecosistema di cyber spionaggio cinese aveva già mostrato una forte capacità di penetrazione regionale nel compromettere infrastrutture di polizia pakistane con ShadowPad, PlugX e Cobalt Strike.

Spear phishing e archivi RAR aprono la catena d’infezione

L’accesso iniziale osservato da Bitdefender passa principalmente attraverso documenti Microsoft Office malevoli, probabilmente distribuiti tramite email di spear phishing. In diversi casi i file erano inseriti all’interno di archivi RAR protetti da password, con la chiave indicata direttamente nel corpo del messaggio: una tecnica semplice ma ancora efficace per ridurre l’efficacia della scansione automatizzata degli allegati e delle sandbox dei gateway di posta.

I documenti contenevano macro capaci di avviare una catena di DLL sideloading utilizzando applicazioni legittime firmate digitalmente. Le esche erano specificamente adattate al contesto regionale e impersonavano ministeri o iniziative governative dell’Uzbekistan, Turkmenistan, Kirghizistan, Tagikistan e Kazakistan; un ulteriore documento era indirizzato a un organismo governativo georgiano.

La precisione della selezione degli obiettivi distingue SilkParasite da campagne opportunistiche e avvicina il modello a operazioni come DragonReturn, che utilizza documenti governativi credibili per distribuire DcRAT. Un dettaglio particolarmente significativo riguarda la macro di distribuzione, capace di verificare la presenza del processo avp.exe di Kaspersky e modificare di conseguenza il proprio comportamento, mostrando una conoscenza preventiva delle soluzioni di sicurezza diffuse negli ambienti governativi presi di mira.

Sette RAT costruiscono un arsenale modulare e professionale

Il cuore dell’operazione è rappresentato da un arsenale estremamente diversificato ma coerente sul piano architetturale. DriveSilkRAT esiste in versioni .NET e C++, CookiETagRAT e NomadRAT sono sviluppati in C++, GoginRAT utilizza Go, mentre NodeEdgeRAT viene eseguito come JavaScript attraverso Node.js. SpiceRAT e BloodAlchemy completano il quadro con famiglie già note. La maggior parte degli implant adotta una struttura a plugin: il payload iniziale resta relativamente piccolo e scarica soltanto le capacità necessarie quando l’operatore ne ha bisogno. Questo riduce l’impronta sul sistema, limita gli artefatti disponibili agli analisti e consente di aggiornare singole funzioni senza sostituire l’intero RAT.

Il modello conferma una caratteristica sempre più evidente negli attori China-nexus: strumenti, infrastrutture e tecniche possono essere condivisi tra cluster differenti. Lo stesso principio emerge nelle reti Operational Relay Box, dove UAT-7810 utilizza LongLeash e router compromessi per offrire infrastrutture condivise ad altri APT cinesi. In SilkParasite la professionalizzazione è visibile anche nella rotazione sistematica di chiavi di cifratura, indirizzi C2, nomi dei payload e artefatti di persistenza, oltre che nell’impiego di utility dedicate per encoding e packaging.

DriveSilkRAT usa Google Drive come server di comando

DriveSilkRAT rappresenta la componente centrale dell’operazione e il vettore attraverso cui sono stati distribuiti progressivamente gli altri malware. Invece di comunicare con un server C2 tradizionale, l’implant interroga una cartella condivisa su Google Drive, recupera file contenenti istruzioni, esegue i comandi attraverso plugin .NET caricati in memoria e invia i risultati nello stesso spazio cloud. Il vantaggio operativo è evidente: il traffico verso Google Drive appare normalmente legittimo ed è spesso consentito dalle policy aziendali, riducendo la probabilità che firewall e sistemi di monitoraggio lo considerino sospetto.

Bitdefender definisce questo modello Living Off Trusted Services, cioè l’abuso di servizi affidabili come infrastruttura offensiva. I ricercatori hanno osservato circa 65 identificativi di infezione, prevalentemente in Asia, specificando però che la cifra rappresenta un limite superiore e non il numero certo di computer compromessi perché lo stesso host potrebbe generare più identificativi hardware. L’utilizzo di servizi legittimi come C2 rende inoltre meno efficace la difesa basata esclusivamente su blocchi di dominio e reputazione IP, obbligando i SOC a identificare Google Drive utilizzato da processi che normalmente non dovrebbero accedervi.

DLL sideloading sfrutta applicazioni firmate per nascondere l’esecuzione

La tecnica più ricorrente dell’intera campagna è il DLL sideloading passivo. Gli operatori portano sulla macchina una copia di un eseguibile legittimo firmato e posizionano accanto a esso una DLL malevola con il nome che l’applicazione si aspetta di caricare. Quando il programma viene avviato, Windows carica automaticamente la libreria controllata dagli attaccanti e il codice malevolo viene eseguito all’interno di un processo considerato affidabile. Tra gli host osservati figurano Calibre, ABBYY FineReader, Quick Heal, Windows Defender e Mp3tag, ciascuno associato a una diversa DLL.

SpiceRAT, per esempio, utilizza ebook-edit.exe di Calibre per caricare calibre-launcher.dll, mentre una variante di DriveSilkRAT sfrutta MpDefenderCoreService.exe e la libreria mpclient.dll. L’uso sistematico di programmi differenti riduce l’efficacia delle detection legate a un singolo processo. La condivisione di tecniche di sideloading, ShadowPad e altre famiglie tra gruppi cinesi è già comparsa anche nella campagna FamousSparrow contro il settore petrolifero azero, alla quale SilkParasite risulta collegata attraverso BloodAlchemy e la lineage Deed RAT/ShadowPad.

CookiETagRAT nasconde i comandi negli header HTTP

Tra i malware nuovi, CookiETagRAT introduce uno dei protocolli C2 più interessanti. Invece di trasportare i comandi nel corpo delle richieste HTTP, utilizza gli header Cookie ed ETag, sfruttando campi normalmente associati alla gestione delle sessioni e della cache web. Il traffico può quindi apparire simile a una normale validazione di contenuti a un sistema di monitoraggio non configurato per analizzare semanticamente questi header. Ogni host genera inoltre una chiave ChaCha20 e un nonce derivati da un identificativo univoco del sistema, impedendo che la cattura del traffico di una vittima consenta automaticamente di decifrare le comunicazioni di un’altra.

BloodAlchemy adotta invece tecniche più aggressive di evasione, includendo HalosGate, hardware breakpoint e vectored exception handler per eseguire syscall evitando gli hook installati dai prodotti endpoint. I ricercatori hanno recuperato plugin capaci di impersonare sessioni utente, registrare clipboard e keystroke. Questa struttura modulare evidenzia quanto il valore della campagna risieda nella riduzione dell’esposizione più che nella quantità di funzioni presenti contemporaneamente sul sistema.

Le tracce dell’AI emergono nello sviluppo ma non sostituiscono gli operatori

Bitdefender distingue esplicitamente SilkParasite dal malware interamente generato attraverso strumenti di intelligenza artificiale. Gli implant mostrano una qualità ingegneristica professionale, ma alcuni artefatti suggeriscono che gli sviluppatori possano avere utilizzato AI come assistente durante la programmazione.

GoginRAT contiene funzioni di test Go rimaste nel binario distribuito e una chiave AES impostata sulla sequenza 0123456789abcdef, mentre NodeEdgeRAT mantiene un campo di configurazione con la stringa change_this_key. NomadRAT e GoginRAT condividono inoltre un’architettura concettualmente molto simile pur essendo scritti rispettivamente in C++ e Go, elemento compatibile con la traduzione assistita di uno stesso progetto tra linguaggi differenti.

Bitdefender mantiene comunque una valutazione di confidenza media: nessuno di questi indizi, isolatamente, prova l’utilizzo di un modello AI. Più evidente è invece il ricorso all’intelligenza artificiale nella produzione di almeno due esche di phishing, una dedicata a una falsa piattaforma regionale per la cooperazione energetica e l’altra a un’offerta di capacità GPU cloud. La dinamica ricorda il caso BusySnake, dove loader probabilmente assistiti dall’AI convivono con strumenti di spionaggio tradizionali: l’automazione accelera alcune fasi operative, ma non sostituisce la competenza degli sviluppatori.

Il threat hunting deve concentrarsi sui comportamenti

La principale superficie di rilevamento resta il DLL sideloading, soprattutto quando applicazioni firmate vengono eseguite da directory temporanee, percorsi di staging o cartelle nelle quali normalmente non dovrebbero trovarsi. Le organizzazioni dovrebbero correlare il processo firmato con la DLL caricata e non limitarsi a cercare uno specifico nome di file. DriveSilkRAT richiede particolare attenzione al traffico verso Google Drive generato senza un’azione riconducibile all’utente, mentre la persistenza può essere individuata analizzando task pianificati come SysEdgeUpdateTaskMachineCore di NodeEdgeRAT e altri nomi costruiti per imitare attività di manutenzione Windows. Bitdefender ha pubblicato nel proprio repository ufficiale GitHub gli IOC completi della campagna SilkParasite, insieme agli hash, domini e indicatori utilizzabili per attività di hunting. Il punto più importante resta però comportamentale: una campagna così modulare può cambiare rapidamente file, server e chiavi, mentre l’esecuzione di applicazioni firmate da percorsi insoliti, il caricamento anomalo di DLL e l’uso di servizi cloud da processi inattesi rimangono segnali molto più resistenti alla rotazione dell’infrastruttura. SilkParasite mostra quindi un modello di cyber spionaggio nel quale professionalizzazione umana, infrastrutture legittime e assistenza AI convivono senza trasformare l’operazione in malware prodotto automaticamente su larga scala.