LONDON (IT BOLTWISE) – Eine zuvor nicht dokumentierte Cyber-Industriespionage namens SilkParasite soll staatliche Stellen in Zentralasien angreifen. Laut Bitdefender Labs setzt die Operation auf sieben Remote-Access-Tool-Familien, darunter fünf, die bislang noch nicht öffentlich beschrieben wurden. Auffällig ist die Kombination aus KI-gestützten Entwicklungsspuren und einem stark modularen Plugin-Design, das die Nachweisbarkeit reduzieren soll. Der Einstieg erfolgt offenbar über gesperrte RAR-Archive mit Office-Dokumenten und Makros, die eine DLL-Sideloading-Kette auslösen.
Die Sicherheitslage in Zentralasien bekommt nach Einschätzung von Bitdefender Labs weiteren Zuwachs: Unter dem Namen SilkParasite wird eine Cyber-Industriespionage beschrieben, die seit Ende 2025 beobachtet wurde und sich offenbar auf Regierungsstellen in der Region fokussiert. Laut den vorliegenden technischen Angaben handelt es sich dabei um einen China-nahen Bedrohungsverbund mit mittlerer Trefferwahrscheinlichkeit. Für die Praxis ist vor allem entscheidend, wie die Angreifer ihre Spuren verwischen: Die Kampagne setzt nicht auf „Alles-oder-nichts“-Malware, sondern auf eine Mischung aus DLL-Sideloading, Cloud-ähnlichen Kommandowegen und einem Plugin-orientierten Aufbau, der Funktionen nachlädt und bei Bedarf austauscht.
Technisch betrachtet beginnt die Angriffskette typischerweise mit spear-phishing. Den Opfern werden offenbar passwordgeschützte RAR-Archive zugespielt, die bösartige Microsoft-Office-Dokumente enthalten; das Passwort steht im Klartext im E-Mail-Text. Öffnet der Anwender das Dokument, startet ein Makro eine Sequenz, die wiederum eine DLL-Sideloading-Strategie auslöst, um die erste Stage abzulegen. Auffällig ist dabei die regionale Ausrichtung der Köder: Laut Bitdefender wurden Dokumente so gestaltet, dass sie für Ministerien oder Behörden in Ländern wie Usbekistan, Turkmenistan, Kirgisistan, Tadschikistan und Kasachstan relevant wirken; ein weiteres Dokument war zudem an eine georgische Regierungsstelle adressiert.
Auch die Abwehrlogik auf Opferseite spielt eine Rolle, denn die Makros prüfen dem Bericht zufolge vor der Ausführung, ob Kaspersky-Software auf dem Zielsystem installiert und aktiv ist. Das ist ein klassisches Indiz für Umgehungsversuche, weil die Erkennungswahrscheinlichkeit in Umgebungen mit verbreiteten Schutzprodukten steigt. Zusätzlich implementieren mehrere der eingesetzten Werkzeuge offenbar eine modulare Plugin-Architektur: Statt alle Fähigkeiten dauerhaft mitzuliefern, werden Komponenten gezielt bereitgestellt, sodass sich das Erkennungsprofil unter bestimmten Bedingungen klein halten kann. Die Architektur erlaubt zudem Upgrades, ohne dass die Basis-Komponenten vollständig ersetzt werden müssen. In der Summe erhöht das die Lebensdauer der Tools und erschwert die „One-shot“-Analyse, weil Analysten nicht automatisch die komplette Funktionspalette sehen.
Besonders interessant ist die Aussage zu KI-gestützter Entwicklung: Laut Bitdefender finden sich in bestimmten Teilen „Spuren“ von AI-assistierter Erstellung, allerdings in einer Form, die nicht einfach mit KI-generierter Malware gleichzusetzen sei. Konkrete Hinweise nennt der Bericht etwa für GoginRAT, das Go-Testfunktionen mitbringt und eine fest verdrahtete AES-Schlüsselkonstante enthält, sowie für NodeEdgeRAT, bei dem es ein Konfigurationsfeld für einen Verschlüsselungsschlüssel mit dem Literal „change_this_key“ gibt. Daneben deutet Bitdefender eine gemeinsame High-Level-Architektur hinter NomadRAT und GoginRAT an, die in zwei Sprachen umgesetzt wurde – ein Muster, das in der Praxis häufig dann entsteht, wenn Entwicklerdesigns mehrfach in unterschiedlichen Implementierungen wiederverwenden. Gerade diese Kombination aus modularer Nachladefähigkeit und wiederverwendeten Strukturen passt zu einem Team-Setup, bei dem KI Arbeitsabläufe beschleunigen, aber nicht zwangsläufig den kompletten Code automatisiert erzeugen muss.
Die Angreifer nutzen dem Bericht zufolge sieben Implantate über verschiedene Programmiersprachen hinweg: .NET, C++, Go und JavaScript. Als gemeinsamer Nenner dient dabei DLL-Sideloading. Das Vorgehen beschreibt Bitdefender so, dass die Malware eine eigene Kopie eines legitim signierten Programms mitbringt, statt eine bereits installierte Anwendung zu missbrauchen. Anschließend wird die „tückische“ DLL unter einem Namen platziert, den das ausführbare Programm beim Start anfordert – der Loader lädt die Bibliothek dann und führt den bösartigen Code aus. Für die konkrete Umsetzung nennt Bitdefender fünf zuvor unbekannte RATs: DriveSilkRAT nutzt Google Drive als Command-and-Control (C2) und pollt einen Ordner auf Aufgaben, verarbeitet sie über ein In-Memory-.NET-Plugin-System und lädt Ergebnisse zurück. CookiETagRAT setzt auf HTTP-Cookie- und ETag-Header als C2-Kanal. NomadRAT arbeitet mit einem Hauptorchestrator und einer dedizierten Transmitter-Bibliothek; Plugins werden nur bei Bedarf anhand numerischer IDs nachgeladen. GoginRAT ähnelt NomadRAT architektonisch und liefert Dateisystem- sowie Shell-Fähigkeiten als unabhängige Plugins. NodeEdgeRAT schließlich bündelt Kommandoausführung, Dateimanagement und Dateiübertragung in einem einzigen JavaScript-Skript.
Für die Einordnung in den Markt- und Bedrohungskontext lohnt auch ein Blick auf die vorhandenen Verbindungslinien. SilkParasite soll der dritte prominente Akteur in jüngerer Zeit sein, der Zentralasien ins Visier nimmt – nach UAC-0063 und FamousSparrow. Besonders verbindend ist laut Bericht ein Backdoor-Element namens BLOODALCHEMY, das als aktualisierte Version von Deed RAT beschrieben wird; Deed RAT gilt wiederum als Nachfolger von ShadowPad, das seinerseits eine Entwicklungslinie zu PlugX beschreibt. Diese Kette ist deshalb relevant, weil sie zeigt, wie sich Toolfamilien über Generationen hinweg weiterentwickeln: DLL-abhängige Loader-Logik, C2-Mechaniken und Plugin-Systeme werden dabei in größeren Toolchains oft nur punktuell verändert, während wiederverwendete Komponenten erhalten bleiben. Der Bericht ergänzt außerdem eine modulare Erweiterungslogik über einen Side-Load-„DLL Loader“ sowie Attack Chains, die Makros mit Office-Dokumenten koppeln. Für Verteidiger bedeutet das: Besonders verlässlich ist nicht der Name einer einzelnen DLL, sondern die Kombination aus „signiertem“ Host-Prozess und einer Bibliothek, die seitlich daneben in ungewöhnlichem Laufzeit-Kontext auftaucht. Solche Muster lassen sich über Verhaltensbaselines und Beziehungen zwischen Prozessen und Netzwerkendpunkten häufig besser erkennen als über reine Signaturen einzelner Artefakte – damit wird das Monitoring im Incident-Response-Team noch stärker zum Netzwerk- und Hostverhaltensprojekt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SilkParasite: Neue RAT-Kampagne zielt offenbar auf Zentralasien" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SilkParasite: Neue RAT-Kampagne zielt offenbar auf Zentralasien" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SilkParasite: Neue RAT-Kampagne zielt offenbar auf Zentralasien« bei Google Deutschland suchen, bei Bing oder Google News!