Die Angreifer verschafften sich den Erstzugang über schädliche Microsoft-Office-Dokumente, die typischerweise per Spearphishing-Mail zugestellt wurden. Um die Prüfung an E-Mail-Gateways zu umgehen, packten die Täter die Köderdokumente in Archive.
Bitdefender fand Dokumente, die auf Regierungsbehörden in Usbekistan, Turkmenistan, Kirgisistan, Tadschikistan, Georgien und Kasachstan zugeschnitten waren; mehrere gaben sich als Schreiben von Ministerien aus. Das Unternehmen stellt dazu die These auf, dass der schwindende Einfluss Russlands in Zentralasien ein Vakuum hinterlassen habe, das China wirtschaftlich füllt — was das Interesse an den Wirtschaftsressorts der Regierungen der Region erklären würde.
Insgesamt zählte Bitdefender 65 Infektionen, die meisten davon in Asien. Sie betrafen DriveSilkRAT, das am häufigsten eingesetzte der sieben Schadprogramme. Es fiel den Analysten auf, weil es anders als übliche Malware keinen eigenen Kommando- und Kontrollserver kontaktiert, sondern an einen gemeinsam genutzten Google-Drive-Ordner angebunden ist. Für Netzwerküberwachung sieht das nach gewöhnlichem Google-Drive-Verkehr aus, der in den meisten Unternehmensumgebungen weniger genau geprüft wird.
Die Kampagne sei ein „Beispiel für professionelles Spionagewerkzeug, das auf geringes Volumen optimiert ist: minimale Spuren, dynamische Ausführung im Speicher und Code, der bewusst so gebaut wurde, dass er früheren Malware-Familien nicht ähnelt", schreibt Bitdefender.
Beim Thema KI bleibt das Unternehmen betont nüchtern: „Malware auf APT-Niveau wie diese bleibt klar das Werk menschlicher Fachleute." SilkParasite sei „vor allem unterstützt: fähige Menschen erledigen die Entwicklungsarbeit und stützen sich auf KI, um schneller vorzugehen — das hinterlässt einige verräterische Spuren, aber keinen Qualitätsverlust." Leistungsfähige Akteure würden KI „langsam und selektiv übernehmen, sie dort in professionelle Arbeitsabläufe einfügen, wo sie hilft, und von jenen Stellen fernhalten, an denen maschinengemachte Mittelmäßigkeit die Operation verraten würde".
Die im Code verbliebenen Platzhalter waren es, die den KI-Einsatz während der Entwicklung verrieten — und damit belegen, dass selbst hochentwickelte staatlich gestützte Gruppen mit KI-Unterstützung programmieren.
Damit fügt sich der Fall in eine Reihe weiterer Beobachtungen. Bitdefender hat im vergangenen Jahr zwei weitere Kampagnen mit China-Bezug verfolgt, die sich gegen Europa und Südasien richteten, darunter eine Serie von Vorfällen im Südkaukasus. Die US-amerikanische National Security Agency warnte am Mittwoch dringend davor, dass nicht näher benannte Akteure KI-generierte Exploit-Skripte gegen kritische Industrietechnik einsetzen, was gefährliche Angriffe mit Folgen in der physischen Welt ermöglichen würde. Eine Woche zuvor hatte ein anderes Unternehmen angegeben, einen automatisierten Cyberangriff auf die Regierung Taiwans beobachtet zu haben.