Uma operação de ciberespionagem de iniciativa chinesa tem tido como alvo organizações governamentais da região asiática central com uma coleção de trojans de acesso remoto ( RATs – Remote Access Trojans) antes, em sua maioria, não identificados. Os Trojans pertencem a sete famílias distintas de malware e têm como principal objetivo manter acesso persistente ao sistema das vítimas.

Pesquisadores dos laboratório “BitDefender Labs“[1] rastrearam a atividade – a qual acabou sendo atribuída a um grupo chamado SilkParasite – em 2025 após uma detecção de infecção em um sistema governamental fundamental na tomada de decisões econômicas de um governo da Ásia Central, de acordo com um relatório publicado hoje – dia dezenove de agosto de dois mil e vinte e seis (19/09/26). A campanha tem como alvo países como Usbequistão, Turcomenistão, Quirguistão, Tarjiquistão e Casaquistão, utilizando estratégias de spear-fishing fabricadas contra organizações governamentais específicas.

Alvos comumente recebem mensagens as quais incluem documentos Office – às vezes compactados em arquivos de extensão RAR -, os quais, depois de acessados, engatilham uma cadeia de ataque para instalar um RAT no dispositivo do alvo. Em alguns dos arquivos, atacantes incluem a senha do RAR encriptado no email para que gateways de segurança e sistemas de análise automática tenham sua análise dificultada.

Dos cinco tipos distintos de malware detectados, anteriormente à pesquisa, cinco ainda não haviam registro, sendo subsequentemente nomeados pela BitDefender como: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT e NodeEdgeRat. As duas outras famílias que já eram documentadas foram identificadas como as famílias SpiceRed e BloodAlchemy.

Em geral, as ferramentas utilizadas na exploração maliciosa aparentam ser resultantes de engenharia de malware profissional e de alta modularidade, carregando consigo traços de desenvolvimento assistido por inteligências artificiais, de acordo com a BitDefender. A atividade demonstra evoluções técnicas e estratégicas das atividades maliciosas conectadas à China e do uso de IA, a qual tem sido utilizada por atacantes em diversas ramificações.

Motivação Geopolítica

A atividade tem relação direta com atividades maliciosas de grupos com alinhamento estratégico à China previamente identificadas – como, por exemplo, a “FamousSparrow“[2] ou o ecossistema do “ShadowPad“[3] -, disse o diretor de soluções técnicas dos laboratórios BitDefender Martin Zugec ao portal de cibersegurança Dark Reading[4].”Todas as campanhas se baseiam nas mesmas técnicas fundamentais”, diz o diretor..

A descoberta da atividade é correlacionável, em maior parte, a razões geopolíticas, proeza técnica e insight sob a evolução do meio de troca dos grupos do aliados à China. Zugec explica que os ataques de SilkParasite evidenciam como a China têm feito movimentos econômicos sob o espaço vazio criado pela queda da influência Russa na região central asiática, dado que “espionagem é intrínseca à influência“.

“O SilkParasite é o que evidencia a mudança geopolítica em questão de telemetria: Um ator patrocinado pelo estado chinês coletando informações de organizações e governos os quais antes se posicionavam firmemente na órbita de influência de Moscow“, Zugec explica.

RATs evidenciam metodologia operacional global, não local

Tecnicamente, a análise malware descrito contribui com informações relevantes para analista sobre o atual estado de distribuição de malwares chineses, os quais continuam ficar cada vez mais evasivos.

“Este malware é pequeno, modular e construído com o intuito específico de não se parecer como malware. Ele utiliza como canal de comando serviços confiáveis como Google Drive, se esconde dentro de aplicações assinadas de maneira legítima e deixa uma pegada ( footprint ) digital deliberadamente pequena.” Isso evidencia o fato que: se defensores de sistemas continuarem a monitorar somente implementações grandes e auto-contidas, eles falharão em identificar malwares como o SilkParasite.

Um dos conhecimentos-chave extraídos da análise da campanha é o fato de os grupos de espionagem sob a esfera de influência chinesa compartilham ferramentas e doutrinas operacionais em suas operações , sugerindo que a atividade da SilkParasite é um prenúncio do que virá a ocorrer em regiões alvo desses atores de ciberespionagem de alto nível.

Historicamente, campanhas de espionagem patrocinadas pela China têm sido associadas à backdoors compartilhados: Uma implementação comum poderia ser encontrada em operações que, inicialmente, não pareciam relacionadas.

Defesa contra o SilkParasite

A utilização de novos RATs pela SilkParasite não indica necessariamente que defensores precisam desenvolver uma nova geração de produtos de segurança– muito pelo contrário, diz Zugec. A utilização de ferramentas já existentes conjunta a maior entendimento do funcionamento destas operações – e a garantia de capacidades de detecção, prevenção e resposta suficientes para agir de acordo com tal conhecimento – que vai manter organizações seguras, diz a pesquisa conduzida.

“A maioria das organizações têm mais capacidade do que se percebe, uma plataforma nova alicerçadas em recursos básicos inconsistentes raramente adiciona algo mais que ruído”, ele diz. Combinar tecnologia existente com fortes investimentos em prevenção e proteção pode também auxiliar no ganho de posições vantajosas dos defensores em relação aos atacantes.

Referências

[1] https://www.bitdefender.com/en-us/blog/businessinsights/silkparasite-tracking-china-nexus-apt-across-central-asia

[2] https://www.darkreading.com/cyberattacks-data-breaches/china-famoussparrow-apt-south-caucasus-energy-firm

[3] https://www.darkreading.com/remote-workforce/china-hackers-target-sentinelone-purplehaze-attack

[4] https://www.darkreading.com/threat-intelligence/silkparasite-central-asian-orgs-flurry-rats