SilkParasite: campanha de espionagem cibernética contra governos da Ásia Central com 7 RAT e apoio da IA

No final de 2025, as equipas de investigação da Bitdefender detectaram uma campanha de espionagem cibernética dirigida a organismos governamentais da Ásia Central que os analistas nomearam como SilkParasite. O conjunto de intrusão utiliza pelo menos sete famílias de troianos de acesso remoto (RAT), cinco delas não documentadas anteriormente —DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT e NodeEdgeRAT — e combina técnicas tradicionais de persistência e sigilo com indícios de apoio em ferramentas de inteligência artificial para acelerar o desenvolvimento e atividades operacionais. Segundo o relatório, a atribuição aponta com confiança média a um relacionamento com atores chineses, mas essa conexão se apoia em pegadas técnicas e reutilização de código conhecido mais do que em uma atribuição com prova direta e completa.

Atos confirmados: os atacantes entregam suas cargas iniciais por arquivos RAR protegidos por senha que contêm documentos do Microsoft Office com macros maliciosas; a abertura do documento dispara uma sequência de DLL sideloading que carrega o primeiro payload; a campanha exibe um design modular baseado em plugins que permite ampliar capacidades sem substituir a base; e a prática de carregar DLL colocadas junto a um binário legítimo assinado é o vetor de execução mais consistente observado. Bitdefender também relatou a presença de um backdoor em C relacionado com famílias prévias (BLOODALCHEMY, que vem da linha Deed RAT → ShadowPad → PlugX) e a reutilização de um RAT conhecido como SpiceRAT em versão atualizada.

Tecnicamente, SilkParasite opera em várias camadas. A entrega inicial explora a confiança em remetentes aparentes através de spear-phishing com documentos cuidadosamente contextualizados para ministérios e organizações do Uzbequistão, Turquemenistão, Quirguistão, Tajiquistão e Cazaquistão. O arquivo RAR protegido por senha reduz a visibilidade automática de sandboxes e filtros. Quando a vítima abre o documento e habilita a macro, esta desencadeia uma carga dinâmica de código: a técnica de DLL sideloading Consiste em executar um binário legítimo (firmado) que, ao procurar uma livraria em sua pasta de execução, carrega uma DLL maliciosa colocada adjacente. Este padrão – um substituto legítimo carregando uma livraria adversa desde uma localização não habitual – é o indicador mais confiável para detecção, mais do que o nome concreto do DLL. (Véase mais sobre esta técnica na matriz MITRE ATT&CK: https://attack.mitre.org/techniques/T1574/001/.)

O arsenal está implementado em quatro linguagens (.NET, C++, Go e JavaScript) e adota uma arquitetura baseada em plugins: o controlador central pede módulos apenas quando necessários, reduz a superfície de detecção e permite atualizações incrementais. O DriveSilkRAT usa o Google Drive para comunicação com o C2; CookiETagRAT usa cabeçalhos HTTP (Cookie/ETag) como canal encoberto; NomadRAT e GoginRAT operam com componentes transmissores separados e plugins referenciados por identificadores numéricos; NodeEdgeRAT é um programa JavaScript que implementa todo o comportamento em um único arquivo. Além disso, Bitdefender observou funções e literales que sugerem apoio de ferramentas gerativas (por exemplo, chaves de cifra com valores triviais e campos configuráveis como "change_this_key"), o que os pesquisadores interpretam como evidência de Assistência automatizada no desenvolvimento e não como malware completamente gerado por IA.

O que está confirmado e o que é estimativa: é confirmado que a campanha afetou principalmente organizações governamentais da região e que Bitdefender identificou aproximadamente 65 instâncias de DriveSilkRAT, a maioria na Ásia. A hipótese de ligação chinesa é um julgamento analítico fundado em similaridades de código e na reincidência de famílias associadas historicamente a grupos dessa origem (por exemplo, ShadowPad/PlugX e BLOODALCHEMY), mas a atribuição completa precisa de mais testes (inteligencia humana, telemetria estendida e correlação temporal). A utilização de IA infere-se de artefatos concretos —texto de lure claramente gerado por modelos de linguagem e padrões de desenvolvimento replicados entre implementações —, sem que haja evidência de que a IA tenha lançado ataques de forma autônoma; é, mais bem, uma ajuda para os operadores humanos.

Impacto e riscos reais: organizações com presença na Ásia Central são as principais afetadas; dado o design modular, os atacantes podem escalar desde reconhecimento e exfiltração básica até controles mais profundos do host (jecução remota, movimento lateral e substituição de binários confiáveis). O uso de serviços na nuvem legítima (Google Drive) e canais encobertos (cabeças HTTP) dificulta a detecção baseada em assinaturas e aumenta a necessidade de monitoramento de comportamento e contexto de rede. A verificação que as macros fazem para detectar presença da Kaspersky sugere um reconhecimento do ambiente alvo e uma intenção expressa de fugir de defesas comuns na região.

Medidas concretas que deveriam tomar administradores e usuários —ação prioritária e tangível —: não activar macros em documentos recebidos por e-mail, excepto se a sua origem estiver verificada através de processos internos; tentar com suspeita qualquer ficheiro comprimido protegido por senha entregue por e-mail e verificar por canais alternos; aplicar políticas de bloqueio de execução de macros (por exemplo, activar a vista protegida e bloquear macros VBA assinadas não prontas); usar listas de aplicações permitidas e restringir a execução de binários assinados fora de localizações esperadas; monitorar relações anormais entre processos e serviços de rede (por exemplo, processos legítimos lançando ligações ao Google Drive ou realizando pedidos com cabeçalhos ETag/Cookie invulgares); e implantar detecção de comportamento em endpoints que possam alertar sobre DLL carregados de pastas não- padrão, juntamente com executáveis assinados. Para orientação sobre defesa contra cargas que abusam de macros, a Microsoft oferece recomendações de configuração ao nível do Office que convém rever.

Se suspeitar de compromisso: isolar as máquinas afetadas, coletar memória e discos para preservação de evidências, procurar arquivos DLL colocados junto a executáveis assinados e artefatos dos RAT documentados (por exemplo, plugins baixados, comunicações com pastas do Google Drive, padrões HTTP com ETag), e coordenar com a equipe de resposta e incidentes ou com a autoridade de cibersegurança nacional. A eliminação sem uma análise forense pode eliminar indicadores críticos; portanto, documentar tudo antes de limpar.

Finalmente, a lição operacional é clara: a convergência entre desenvolvimento assistido por IA e práticas comprovadas de malware profissional aumenta a escala e rapidez de operações sem reduzir sua sofisticação. Defender-se exige passar de detecção baseada em assinaturas a modelos que corrijam por comportamento, contexto e relação entre processos e serviços externos. Para aprofundar técnicas de evasão como o DLL sideloading e estratégias de detecção, você pode consultar a página do MITRE ATT&CK citada acima e as pesquisas técnicas publicadas por provedores de segurança como Bitdefender, que estão documentando essa campanha em seu canal de análise técnica ( https://www.bitdefender.com/blog/labs/).