Chiến dịch gián điệp SilkParasite nhắm vào cơ quan chính phủ Trung Á
"A previously unreported espionage campaign dubbed SilkParasite targeted government bodies in Central Asia using seven RAT families, including five newly documented implants. The operation relied on spear-phishing, password-protected archives, DLL sideloading, and modular malware with C2 channels such as Google Drive and HTTP headers; no CVE was mentioned, and the main impact was covert remote access, reconnaissance, and payload execution. The reported mitigation is detection and blocking of the phishing, sideloading, and RAT infrastructure, along with awareness of regionally tailored lures and AV-evasion checks."
Nguy cơ gián điệp và điều khiển từ xa đối với hệ thống chính phủ; khó phát hiện do dùng phishing, DLL sideloading và C2 ngụy trang.
Gián đoạn vận hành và rò rỉ dữ liệu nhạy cảm có thể xảy ra; cần tăng giám sát email, endpoint và lưu lượng mạng để giảm thời gian tồn tại của mã độc.
Một chiến dịch gián điệp mạng chưa từng được công bố trước đây, mang tên SilkParasite, đã được ghi nhận nhắm vào các cơ quan chính phủ ở Trung Á. Nhóm tấn công sử dụng 7 họ RAT (remote access tool), trong đó có 5 biến thể mới vừa được mô tả: DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT và NodeEdgeRAT. Theo đánh giá ban đầu, chiến dịch có liên hệ với một tác nhân đe dọa liên quan đến Trung Quốc ở mức độ tin cậy trung bình.
Chuỗi xâm nhập bắt đầu từ email spear-phishing kèm RAR có mật khẩu, bên trong chứa tài liệu Microsoft Office độc hại. Khi người dùng mở tài liệu, macro sẽ kích hoạt DLL sideloading để thả payload giai đoạn đầu. Các tài liệu mồi nhử được thiết kế theo ngữ cảnh khu vực, giả mạo nội dung liên quan đến Uzbekistan, Turkmenistan, Kyrgyzstan, Tajikistan và Kazakhstan. Một số mẫu còn kiểm tra sự hiện diện của Kaspersky trước khi thực thi, cho thấy nỗ lực né tránh phát hiện.
Về kỹ thuật, các implant đều có kiến trúc modular và hỗ trợ mở rộng bằng plugin, giúp kẻ tấn công tăng chức năng mà vẫn giữ dấu vết thấp. Khuyến nghị là tăng cường phát hiện phishing, chặn DLL sideloading, giám sát hạ tầng C2 như Google Drive và HTTP headers, đồng thời rà soát các tệp nén, macro và tiến trình bất thường trong môi trường chính phủ.