Обнаруженная в конце 2025 года операция SilkParasite нацелена на государственные учреждения Узбекистана, Туркменистана, Кыргызстана, Таджикистана и Казахстана. Несколько вредоносных документов маскировались под материалы конкретных министерств. Ещё один документ, найденный на публичной платформе обмена образцами вредоносного ПО, был адресован государственному ведомству Грузии. Bitdefender Labs с умеренной уверенностью относит SilkParasite к группе, связанной с Китаем; технический отчёт компании был передан изданию The Hacker News. После UAC-0063 и FamousSparrow это уже третий заметный кибершпионский игрок, атаковавший Центральную Азию за последние годы.
В распоряжении операторов находятся семь семейств троянов удалённого доступа, или RAT. Пять из них прежде не описывались: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT и NodeEdgeRAT. Ещё два инструмента, BLOODALCHEMY и SpiceRAT, уже встречались у групп с китайскими связями. Происхождение BLOODALCHEMY прослеживается по цепочке PlugX → ShadowPad → Deed RAT → BLOODALCHEMY: ShadowPad развился из PlugX, Deed RAT стал его преемником, а BLOODALCHEMY представляет собой обновлённый вариант Deed RAT. PlugX и ShadowPad давно находятся в арсеналах китайских хакерских групп.
Elastic Security Labs впервые описала BLOODALCHEMY в октябре 2023 года. Тогда бэкдор связывали с атаками REF5961 на государственные организации Южной и Юго-Восточной Азии. Написанный на C бэкдор запускается через DLL-загрузчик и легитимный исполняемый файл, уязвимый для подменной загрузки библиотеки. Набор команд у него сравнительно узкий: сбор сведений о компьютере, перезапись собственного файла, загрузчика или основного доверенного приложения, завершение работы и самоудаление. Узкая функциональность здесь не означает примитивность: дополнительные задачи распределены между отдельными компонентами.
Заражение начинается с адресного фишингового письма. К нему прикреплён защищённый паролем RAR-архив, а сам пароль заботливо указан в тексте сообщения, чтобы получатель не заподозрил подвох. Внутри лежит вредоносный документ Microsoft Office. После его открытия макрос запускает последовательность DLL sideloading, то есть подменной загрузки динамической библиотеки, и устанавливает либо исполняет полезную нагрузку первого этапа. Перед запуском макрос проверяет, установлен ли на компьютере антивирус Kaspersky и работает ли он в данный момент. Такая проверка, вероятнее всего, нужна для обхода защиты: продукты Kaspersky широко распространены в странах, выбранных для атак.
Для DLL sideloading злоумышленники не ищут подходящую программу на компьютере жертвы, а приносят собственную копию легитимно подписанного приложения. Рядом помещается вредоносная DLL с именем, которое программа ожидает увидеть при запуске. Доверенный исполняемый файл загружает библиотеку из своего каталога и невольно передаёт ей управление. По оценке Bitdefender, имя DLL само по себе мало что даёт защитникам. Гораздо надёжнее сочетание трёх обстоятельств: подписанное приложение запускается из необычного каталога, рядом с ним лежит библиотека, и именно эту библиотеку процесс загружает.
Почти все инструменты SilkParasite построены вокруг плагинов. Оператор может отправить конкретной жертве лишь нужные функции, расширить возможности импланта позднее и обновить отдельный модуль, не меняя весь каркас. Заодно уменьшается объём кода на заражённой машине, а вместе с ним и число признаков, доступных антивирусу. В арсенале встречаются программы на .NET, C++, Go и JavaScript; BLOODALCHEMY отдельно написан на C. Разные языки не мешают повторять одну архитектурную схему, что особенно хорошо видно по NomadRAT и GoginRAT.
DriveSilkRAT, созданный с и C++, превращает Google Drive в канал управления. Имплант регулярно проверяет определённую папку, забирает оттуда задания, обрабатывает их через загружаемую в память систему.NET-плагинов и помещает результаты обратно. Всего предусмотрено 12 плагинов, среди них просмотр процессов, сбор системных и сетевых сведений, управление файлами и выполнение команд. Bitdefender наблюдала примерно 65 заражений DriveSilkRAT, преимущественно в Азии. Обычный облачный трафик позволяет таким обращениям затеряться среди легитимной активности и избавляет операторов от постоянной зависимости от явно вредоносных серверов.
Написанный на C++ CookiETagRAT прячет обмен командами в заголовках HTTP-ответов Cookie и ETag. Другой C++-имплант, NomadRAT, состоит из главного управляющего модуля и отдельной библиотеки-передатчика, через которую проходит весь трафик с командным сервером. Его плагины обозначаются только числовыми идентификаторами и скачиваются с контролируемого атакующими сервера по мере надобности. На одном компьютере может появиться модуль для работы с файлами, на другом совсем иной инструмент; универсальный тяжёлый набор носить с собой не требуется.
GoginRAT написан на Go, но по устройству близок к NomadRAT. Связь с инфраструктурой вынесена в отдельный передатчик, работа с файловой системой и командной оболочкой оформлена независимыми плагинами, а результаты их запуска возвращаются через общий callback. В готовом образце остались тестовые функции Go и жёстко заданный AES-ключ 0123456789abcdef. JavaScript-троян NodeEdgeRAT устроен проще: выполнение команд, управление файлами и их передача собраны в одном сценарии. В его конфигурации ключ шифрования буквально записан как change_this_key. Сходство NomadRAT и GoginRAT допускает, что один проект высокого уровня дважды реализовали на разных языках, C++ и Go, возможно ускорив перенос средствами искусственного интеллекта.
Обновлённый SpiceRAT умеет загружать и запускать исполняемые файлы, а также выполнять произвольные команды. Этот RAT связывают с китайскоязычной группой SneakyChef, поэтому его присутствие дополняет технические доводы в пользу китайского происхождения SilkParasite, хотя само по себе его не доказывает. Bitdefender нашла и другие признаки разработки с помощью ИИ. Самым явным оказался фишинговый документ, выглядевший как сгенерированный искусственным интеллектом; именно там операторы проявили несвойственную остальному инструментарию небрежность. Исследователи не исключили намеренной ошибки, рассчитанной на запутывание атрибуции. В целом код выглядит работой опытной человеческой команды: ИИ, по оценке специалистов, помогал ускорять и масштабировать отдельные этапы, поэтому называть весь арсенал полностью сгенерированным ИИ неверно.
Сигнатуры отдельных файлов против такой кампании быстро устаревают. Плагины доставляются выборочно, подписанные приложения выглядят доверенными, а команды могут идти через Google Drive или малозаметные HTTP-заголовки. Практический контроль строится вокруг связей между процессом, загруженной библиотекой, каталогом запуска и сетевым сервисом. Особого внимания требуют подписанные программы в папках архиваторов, временных каталогах и пользовательских директориях, если они подхватывают расположенные рядом DLL. Имена библиотек, объём трафика и единичные индикаторы компрометации дают слабую опору; аномальная цепочка запуска и нетипичное обращение процесса к облачной платформе обычно говорят больше.
Изображение носит иллюстративный характер
В распоряжении операторов находятся семь семейств троянов удалённого доступа, или RAT. Пять из них прежде не описывались: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT и NodeEdgeRAT. Ещё два инструмента, BLOODALCHEMY и SpiceRAT, уже встречались у групп с китайскими связями. Происхождение BLOODALCHEMY прослеживается по цепочке PlugX → ShadowPad → Deed RAT → BLOODALCHEMY: ShadowPad развился из PlugX, Deed RAT стал его преемником, а BLOODALCHEMY представляет собой обновлённый вариант Deed RAT. PlugX и ShadowPad давно находятся в арсеналах китайских хакерских групп.
Elastic Security Labs впервые описала BLOODALCHEMY в октябре 2023 года. Тогда бэкдор связывали с атаками REF5961 на государственные организации Южной и Юго-Восточной Азии. Написанный на C бэкдор запускается через DLL-загрузчик и легитимный исполняемый файл, уязвимый для подменной загрузки библиотеки. Набор команд у него сравнительно узкий: сбор сведений о компьютере, перезапись собственного файла, загрузчика или основного доверенного приложения, завершение работы и самоудаление. Узкая функциональность здесь не означает примитивность: дополнительные задачи распределены между отдельными компонентами.
Заражение начинается с адресного фишингового письма. К нему прикреплён защищённый паролем RAR-архив, а сам пароль заботливо указан в тексте сообщения, чтобы получатель не заподозрил подвох. Внутри лежит вредоносный документ Microsoft Office. После его открытия макрос запускает последовательность DLL sideloading, то есть подменной загрузки динамической библиотеки, и устанавливает либо исполняет полезную нагрузку первого этапа. Перед запуском макрос проверяет, установлен ли на компьютере антивирус Kaspersky и работает ли он в данный момент. Такая проверка, вероятнее всего, нужна для обхода защиты: продукты Kaspersky широко распространены в странах, выбранных для атак.
Для DLL sideloading злоумышленники не ищут подходящую программу на компьютере жертвы, а приносят собственную копию легитимно подписанного приложения. Рядом помещается вредоносная DLL с именем, которое программа ожидает увидеть при запуске. Доверенный исполняемый файл загружает библиотеку из своего каталога и невольно передаёт ей управление. По оценке Bitdefender, имя DLL само по себе мало что даёт защитникам. Гораздо надёжнее сочетание трёх обстоятельств: подписанное приложение запускается из необычного каталога, рядом с ним лежит библиотека, и именно эту библиотеку процесс загружает.
Почти все инструменты SilkParasite построены вокруг плагинов. Оператор может отправить конкретной жертве лишь нужные функции, расширить возможности импланта позднее и обновить отдельный модуль, не меняя весь каркас. Заодно уменьшается объём кода на заражённой машине, а вместе с ним и число признаков, доступных антивирусу. В арсенале встречаются программы на .NET, C++, Go и JavaScript; BLOODALCHEMY отдельно написан на C. Разные языки не мешают повторять одну архитектурную схему, что особенно хорошо видно по NomadRAT и GoginRAT.
DriveSilkRAT, созданный с и C++, превращает Google Drive в канал управления. Имплант регулярно проверяет определённую папку, забирает оттуда задания, обрабатывает их через загружаемую в память систему.NET-плагинов и помещает результаты обратно. Всего предусмотрено 12 плагинов, среди них просмотр процессов, сбор системных и сетевых сведений, управление файлами и выполнение команд. Bitdefender наблюдала примерно 65 заражений DriveSilkRAT, преимущественно в Азии. Обычный облачный трафик позволяет таким обращениям затеряться среди легитимной активности и избавляет операторов от постоянной зависимости от явно вредоносных серверов.
Написанный на C++ CookiETagRAT прячет обмен командами в заголовках HTTP-ответов Cookie и ETag. Другой C++-имплант, NomadRAT, состоит из главного управляющего модуля и отдельной библиотеки-передатчика, через которую проходит весь трафик с командным сервером. Его плагины обозначаются только числовыми идентификаторами и скачиваются с контролируемого атакующими сервера по мере надобности. На одном компьютере может появиться модуль для работы с файлами, на другом совсем иной инструмент; универсальный тяжёлый набор носить с собой не требуется.
GoginRAT написан на Go, но по устройству близок к NomadRAT. Связь с инфраструктурой вынесена в отдельный передатчик, работа с файловой системой и командной оболочкой оформлена независимыми плагинами, а результаты их запуска возвращаются через общий callback. В готовом образце остались тестовые функции Go и жёстко заданный AES-ключ 0123456789abcdef. JavaScript-троян NodeEdgeRAT устроен проще: выполнение команд, управление файлами и их передача собраны в одном сценарии. В его конфигурации ключ шифрования буквально записан как change_this_key. Сходство NomadRAT и GoginRAT допускает, что один проект высокого уровня дважды реализовали на разных языках, C++ и Go, возможно ускорив перенос средствами искусственного интеллекта.
Обновлённый SpiceRAT умеет загружать и запускать исполняемые файлы, а также выполнять произвольные команды. Этот RAT связывают с китайскоязычной группой SneakyChef, поэтому его присутствие дополняет технические доводы в пользу китайского происхождения SilkParasite, хотя само по себе его не доказывает. Bitdefender нашла и другие признаки разработки с помощью ИИ. Самым явным оказался фишинговый документ, выглядевший как сгенерированный искусственным интеллектом; именно там операторы проявили несвойственную остальному инструментарию небрежность. Исследователи не исключили намеренной ошибки, рассчитанной на запутывание атрибуции. В целом код выглядит работой опытной человеческой команды: ИИ, по оценке специалистов, помогал ускорять и масштабировать отдельные этапы, поэтому называть весь арсенал полностью сгенерированным ИИ неверно.
Сигнатуры отдельных файлов против такой кампании быстро устаревают. Плагины доставляются выборочно, подписанные приложения выглядят доверенными, а команды могут идти через Google Drive или малозаметные HTTP-заголовки. Практический контроль строится вокруг связей между процессом, загруженной библиотекой, каталогом запуска и сетевым сервисом. Особого внимания требуют подписанные программы в папках архиваторов, временных каталогах и пользовательских директориях, если они подхватывают расположенные рядом DLL. Имена библиотек, объём трафика и единичные индикаторы компрометации дают слабую опору; аномальная цепочка запуска и нетипичное обращение процесса к облачной платформе обычно говорят больше.
