Im Zentrum der von Bitdefender dokumentierten Kampagne steht ein Arsenal aus sieben RAT-Familien. Fünf davon waren laut den Forschern bislang nicht dokumentiert und wurden von Bitdefender neu benannt: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT und NodeEdgeRAT. Hinzu kommen die bereits bekannten Familien SpiceRAT und BloodAlchemy.
Bitdefender beschreibt das Werkzeugset als klein, modular und professionell entwickelt. Nach Einschätzung des Unternehmens trägt es zudem Spuren einer KI-gestützten Entwicklung. Martin Zugec, Director of Technical Solutions bei Bitdefender, sagte Dark Reading, die Aktivität weise direkte Verbindungen zu früheren, China-nahen Aktivitäten auf, die als FamousSparrow verfolgt werden, sowie indirekte Verbindungen zum breiteren ShadowPad-Umfeld. Zugleich ziehe sich durch alle diese Aktivitäten derselbe methodische Unterbau.
Für Zugec ist die Entdeckung auch geopolitisch bemerkenswert. Die Angriffe von SilkParasite zeigten, wie China in einen Raum vorstoße, der durch nachlassenden russischen Einfluss in Zentralasien geprägt sei. „Cyberspionage folgt dem Einfluss“, erklärte er. In den Telemetriedaten zeige sich dieser Wandel als China-nahe Aktivität, die Informationen von Regierungen und Organisationen in einer Region sammelt, die lange fest im Moskauer Einflussbereich gelegen habe.
Technisch sieht Bitdefender vor allem eine Entwicklung hin zu unauffälligerer Schadsoftware. Nach Angaben von Zugec ist die Malware klein, modular und gezielt so gebaut, dass sie nicht wie typische Schadsoftware wirke. Ihren Befehls- und Steuerkanal führe sie über vertrauenswürdige Dienste wie Google Drive, verberge sich in legitim signierten Anwendungen und halte ihren Fußabdruck bewusst klein. Wer weiterhin vor allem nach großen, in sich geschlossenen Implantaten suche, werde laut Zugec die von SilkParasite eingesetzten Werkzeuge übersehen.
Bitdefender hebt außerdem hervor, dass China-nahe Gruppen ihre Werkzeuge und Vorgehensweisen offenbar anders über Operationen hinweg teilen. Historisch seien solche Kampagnen oft mit gemeinsam genutzten Backdoors verknüpft gewesen, die als technischer Fingerabdruck dienten. SilkParasite deute stattdessen auf ein Modell hin, in dem unterschiedliche Malware-Familien entwickelt werden, während operative Techniken und Praktiken in globalen Kampagnen wiederverwendet werden. Die in dem Bericht dokumentierte Methode sei übertragbar und könne laut Zugec „nächste Woche in Ihrer Umgebung auftauchen“.
Hinweise auf KI-gestützte Entwicklung fanden die Forscher in mehreren Details der neuartigen Malware. Der Bericht nennt übrig gebliebene Go-Testfunktionen und einen auffällig fortlaufenden Platzhalter-Schlüssel zur Verschlüsselung in GoginRAT, den Konfigurationswert „change_this_key“ in NodeEdgeRAT sowie eine ähnliche übergeordnete Architektur von NomadRAT und GoginRAT, obwohl beide in unterschiedlichen Programmiersprachen umgesetzt wurden.
Zugec sagte Dark Reading, der Einsatz von KI als Hilfsmittel für die Malware-Entwicklung statt zur vollständigen Generierung könne für SilkParasite ein strategischer Vorteil sein, weil dies die Tarnung begünstige. Vollständig KI-generierte Schadsoftware eigne sich seiner Einschätzung nach schlecht für anspruchsvolle Spionage, weil der Code oft abgeleitet, aufgebläht und auffällig sei. Deshalb passe auch die Erzählung, KI beschleunige diese Art Angriffe massiv, auf diese Gruppe nicht. Den realistischen Effekt von KI auf solche Bedrohungen bezeichnete er stattdessen als „Industrialisierung der Mittelmäßigkeit“; vorhandene Werkzeuge könnten damit umgehen.