Thought Leadership
Bitdefender hat mit SilkParasite eine rund ein Jahr laufende Cyberspionage-Kampagne aufgedeckt, die gezielt Regierungsstellen in Zentralasien angriff.
Laut dem 60-seitigen Bitdefender-Report richtete sich SilkParasite vor allem gegen Regierungsstellen in Usbekistan, Turkmenistan, Kirgisistan, Tadschikistan und Kasachstan, zudem identifizierten die Forscher einen Köder für eine georgische Regierungsstelle. Die Angreifer setzten dabei sieben verschiedene Familien von Fernzugriffstrojanern ein, von denen fünf zuvor undokumentiert waren und von Bitdefender selbst benannt wurden: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT und NodeEdgeRAT. Der Einstieg erfolgte über individuell zugeschnittene Spear-Phishing-Mails mit passwortgeschützten RAR-Archiven, deren Passwort im Klartext im Mailtext stand, und die schädliche Office-Dokumente mit DLL-Sideloading enthielten. Die Kontrollserver-Kommunikation leiteten die Angreifer über legitime Cloud-Dienste wie Google Drive, um im normalen Datenverkehr nicht aufzufallen.
Auffällig seien vor allem die Spuren KI-gestützter Entwicklung innerhalb eines ansonsten fachmännisch entwickelten Codes, ein deutlicher Unterschied zu vollständig KI-generierter Schadsoftware. Anders als bei vielerorts zunehmend beobachteter, schlecht programmierter KI-Schadsoftware wirkt das SilkParasite-Werkzeugset demnach professionell entwickelt, mit KI-Einsatz vor allem zur Beschleunigung der Arbeit. Einer der Phishing-Köder war dabei unverkennbar KI-generiert, laut Bitdefender vermutlich absichtlich in geringer Qualität gehalten, um sich unauffällig in den ohnehin KI-generierten Alltagsverkehr der Zielpersonen einzufügen.
Cyberspionage: Dritter dokumentierter Fall in derselben Region
Als Indizien für eine Verbindung nach China nennt Bitdefender unter anderem eine bekannte Verbindung des eingesetzten SpiceRAT zur Gruppe SneakyChef sowie Überschneidungen bei der genutzten Infrastruktur mit China Unicom. SilkParasite ist damit bereits der dritte von Bitdefender dokumentierte Fall dieses Musters in der Region, nach der im Februar 2025 beschriebenen Gruppe UAC-0063 sowie der im Mai 2026 dokumentierten Kampagne FamousSparrow. Martin Zugec, Technical Solutions Director bei Bitdefender, ordnete den Hintergrund so ein:
„Es liegt eine geopolitische Logik dahinter, warum jemand gleich sieben maßgeschneiderte Familien von Remote-Access-Trojanern und ein ganzes Jahr operativer Wartung genau in diese Region investiert. Russlands schwindender Einfluss in Zentralasien und im Südkaukasus seit dem Einmarsch in die Ukraine im Jahr 2022 hat ein Vakuum geschaffen. China füllt diesen Raum wirtschaftlich aus.“
Martin Zugec, Technical Solutions Director bei Bitdefender
Regierungsstellen, die sich mit Wirtschaftspolitik befassten, seien dabei keine zufälligen Opfer, sondern die Beamten, die die vertieften wirtschaftlichen Beziehungen zu Peking gestalteten, würden dadurch zu naheliegenden nachrichtendienstlichen Zielen.
(Bitdefender/red)
