Se ha detectado SilkParasite, una operación de ciberespionaje vinculada a China que ataca entidades gubernamentales en Asia Central. El grupo utiliza siete familias de RAT y emplea inteligencia artificial para optimizar el desarrollo de su código y crear señuelos de phishing. Sus ataques se basan en el uso de macros y DLL sideloading para evadir detecciones y desplegar herramientas modulares.







Se ha observado una operación de ciberespionaje no reportada anteriormente, denominada SilkParasite, que tiene como objetivo organismos gubernamentales en Asia Central.

El conjunto de intrusiones utiliza siete familias de herramientas de acceso remoto (RAT), cinco de las cuales nunca habían sido documentadas previamente: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT y NodeEdgeRAT. SilkParasite, descubierto por primera vez a finales de 2025, se considera un grupo de amenazas vinculado a China con un nivel de confianza medio.

"Lo que hace interesante a SilkParasite son los rastros de desarrollo asistido por IA que recorren un código que, de otro modo, sería experto, lo cual es diferente del malware generado por IA", afirmó Bitdefender Labs en un informe técnico.

A diferencia de otras operaciones que dependen de malware generado por IA, el arsenal de SilkParasite muestra todas las características asociadas típicamente con el utillaje de espionaje profesional desarrollado por un equipo de operadores humanos, mientras que es probable que la IA se utilice para optimizar el proceso.

El proveedor rumano de ciberseguridad señaló que la señal más clara del uso de esta tecnología proviene de un señuelo de phishing que es indudablemente generado por IA. También es el único lugar donde el adversario parece haber sido descuidado, lo que ha planteado la posibilidad de que haya sido una elección deliberada para confundir los esfuerzos de atribución.

SilkParasite es el tercer actor de amenazas prominente que ataca Asia Central en los últimos años. Un aspecto notable que vincula la operación con China es el uso de un backdoor llamado BLOODALCHEMY, que es una versión actualizada de Deed RAT, a su vez sucesor de ShadowPad. ShadowPad, por su parte, es una evolución de PlugX. Tanto ShadowPad como PlugX son ampliamente utilizados por grupos de hacking chinos.

Documentado por primera vez por Elastic Security Labs en octubre de 2023, BLOODALCHEMY fue observado como parte de ataques lanzados por REF5961 contra organizaciones gubernamentales en el sur y sureste de Asia. Se dice que el backdoor basado en C es parte de un conjunto de herramientas más amplio que se lanza mediante un cargador de DLL que se carga lateralmente (sideloading) utilizando un binario legítimo.

El malware admite comandos básicos para recopilar información del host, sobrescribir el binario del malware, el cargador o el binario confiable principal que es vulnerable al sideloading de DLL, y para finalizar e desinstalarse a sí mismo.

Otro indicador que apunta a la conexión con China es el uso de una versión actualizada de SpiceRAT, que está equipada para descargar y ejecutar binarios ejecutables y comandos arbitrarios. Se atribuye a otro actor de amenazas de habla china con el nombre en clave SneakyChef.

Las cadenas de ataque comienzan con archivos RAR protegidos con contraseña que contienen documentos maliciosos de Microsoft Office, probablemente entregados a través de correos electrónicos de spear-phishing. La contraseña para abrir el archivo se proporciona en el cuerpo del correo. Al abrir el documento, se lanza una macro responsable de activar una secuencia de sideloading de DLL para soltar la carga útil de la primera etapa.

"Los señuelos fueron adaptados regionalmente", dijo Bitdefender. "Los documentos recuperados fueron diseñados para parecer relevantes para entidades gubernamentales en Uzbekistán, Turkmenistán, Kirguistán, Tayikistán y Kazajistán, algunos suplantando ministerios específicos. Otro documento, recuperado de una plataforma pública de intercambio de malware, estaba dirigido a una entidad gubernamental georgiana".

Quizás más significativamente, la macro verifica si el software antivirus de Kaspersky está instalado y ejecutándose en la máquina antes de la ejecución. Esto es indicativo de intentos de evadir la detección dada la prevalencia del programa de seguridad en la región.

Casi todas las herramientas desplegadas durante el ataque implementan una arquitectura orientada a plugins que permite a los operadores ampliar sus capacidades a voluntad, sirviendo selectivamente cargas útiles que puedan adaptarse mejor al entorno de la víctima y manteniendo pequeña la huella de detección.



Además, el sistema modular ofrece otra ventaja crucial, ya que permite a los actores de amenazas actualizar las capacidades de los componentes sin tener que reemplazar las bases subyacentes. Los siete implantes abarcan cuatro lenguajes de programación diferentes (.NET, C++, Go y JavaScript) y utilizan el sideloading de DLL como principal vector de entrega.

El enfoque consiste en traer su propia copia de un programa firmado legítimamente, en lugar de aprovechar un binario ya instalado, y colocar la DLL maliciosa bajo un nombre que el ejecutable busque, provocando que se ejecute el código malicioso. A continuación, una breve descripción de cada familia de malware:

* DriveSilkRAT (.NET/C++), que utiliza Google Drive como comando y control (C2) para consultar una carpeta específica en busca de tareas, ejecutarlas a través de un sistema de plugins .NET en memoria y cargar los resultados de la ejecución nuevamente en la misma carpeta. Admite 12 plugins para listado de procesos, enumeración de sistema y red, gestión de archivos y ejecución de comandos.
* CookiETagRAT (C++), que utiliza encabezados de respuesta HTTP Cookie / ETag como C2 para recibir y ejecutar comandos.
* NomadRAT (C++), que cuenta con un orquestador principal, una biblioteca transmisora dedicada que maneja todo el tráfico C2 y plugins obtenidos del servidor mediante identificadores numéricos solo cuando son necesarios.
* GoginRAT (Go), que tiene similitudes arquitectónicas con NomadRAT, utiliza un transmisor separado para C2 e implementa capacidades de sistema de archivos y shell como plugins independientes. Los resultados de la ejecución del plugin se enrutan a través de un callback compartido.
* NodeEdgeRAT (JavaScript), que envía toda su funcionalidad, incluyendo ejecución de comandos, gestión de archivos y transferencia de archivos, en un solo script.

Bitdefender dijo haber observado aproximadamente 65 instancias infectadas con DriveSilkRAT, la mayoría de ellas ubicadas en la región de Asia.

Pistas de asistencia por ia

Las pistas que sugieren algún nivel de asistencia por IA aparecen en GoginRAT, que incluye funciones de prueba de Go y una clave AES codificada como "0123456789abcdef", y en NodeEdgeRAT, que lleva un campo de configuración para una clave de cifrado establecida literalmente como "change_this_key". Otra señal de IA es que tanto NomadRAT como GoginRAT comparten una arquitectura similar, lo que sugiere que un único diseño de alto nivel fue implementado dos veces en dos lenguajes, algo que se escaló utilizando flujos de trabajo asistidos por IA.

"La superficie de detección más consistente en toda la campaña es el sideloading de DLL, y la señal fiable es la pareja, no solo el nombre de la DLL: una aplicación firmada legítimamente que carga una biblioteca colocada junto a ella mientras se ejecuta desde una ubicación inusual", afirmó Bitdefender.

"En términos más generales, los implantes basados en plugins de baja huella que operan a través de servicios en la nube legítimos son mal atendidos por la detección basada en volumen. Capturarlos de manera confiable requiere líneas base de comportamiento que marquen relaciones inusuales entre procesos y servicios de red, en lugar de firmas para cualquier artefacto individual".

Fuente:
THN