研究者らは、被害者の選定傾向、共有されるマルウェアツール、インフラの関連性、そして中国系のサイバースパイ活動に一般的に見られる手口などを根拠に、この活動を中程度の確度で「中国と関連(China-nexus)」があると評価しています。
残る2つのマルウェアファミリーはSpiceRATとBloodAlchemyで、後者はShadowPadおよびDeed RATの系譜に連なるものです。
この作戦は、2025年後半に中央アジアのある政府機関(経済政策の意思決定に関与)で不審な感染が発覚したことをきっかけに発見されました。数か月にわたる調査の結果、ほぼ1年間にわたって継続していたとみられる、維持管理された攻撃キャンペーンであることが判明しました。
SilkParasiteは、ウズベキスタン、トルクメニスタン、キルギス、タジキスタン、カザフスタン、ジョージアの各国の組織を標的にしていました。
攻撃者は、悪意のあるMicrosoft Officeドキュメントを添付したフィッシングメールを使用しており、多くの場合、パスワード保護されたRARアーカイブ内に隠されていました。これらのドキュメントはマクロを起動し、DLLサイドローディングを通じてマルウェアを展開していました。
DLLサイドローディングは、信頼された署名済みアプリケーションを悪用し、同じフォルダ内に格納された悪意のあるDLLファイルを読み込ませる手法です。
SilkParasiteは、Calibre、ABBYY、Quick Heal、Windows Defender、Mp3tagの正規ソフトウェアをホストプロセスとして利用していました。この手法により、マルウェアは信頼されたプロセス内で実行され、基本的な検知ルールを回避できるようになります。
このキャンペーンの中核となるインプラントがDriveSilkRATです。Google Driveをコマンド&コントロール(C2)チャネルとして利用し、感染したシステムは正規のクラウドトラフィックを通じてコマンドをダウンロードし、実行結果をアップロードすることができました。
研究者らはおよそ65件の感染識別子を確認していますが、これは必ずしも65台の個別の侵害端末を意味するわけではありません。
このRATはまた、コマンド実行、ファイル管理、プロセスの探索、ネットワーク列挙のために、.NETプラグインをメモリ上にダウンロードしていました。
こうしたモジュール式の設計により、マルウェアがディスク上に残す痕跡が減り、運用者は必要な場合にのみ機能を追加できるようになります。
Go言語で書かれたGoginRATは、シェルセッションとファイル管理セッションをそれぞれ個別にサポートしていました。NodeEdgeRATは、バンドルされたNode.jsランタイムを通じて実行される難読化されたJavaScriptインプラントでした。
Bitdefenderによれば、このマルウェアは専門的に設計されているように見えるものの、AI支援による開発の痕跡が見られる可能性があるとのことです。
GoginRATには、消し忘れたGoのテスト関数と連番のAES鍵が含まれていた一方、NodeEdgeRATにはプレースホルダーの値であるchange_this_keyが使われていました。
これらの痕跡は、開発者がコーディングを加速させるためにAIツールを利用しつつも、作戦全体は依然として手作業で構築・維持していたことを示唆しています。
これは、過剰なコード、脆弱なロジック、不安定な機能を含むことが多い、質の低いAI生成マルウェアとは一線を画すものです。
SilkParasiteは代わりに、コンパクトなペイロード、メモリ上での実行、変化する暗号鍵、ローテーションするインフラ、そして専用の展開チェーンを使用していたと、Bitdefenderは述べています。
注: IPアドレスおよびドメインは、誤ったアクセスやハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/silkparasite-targets-central-asia/
