SilkParasite: KI-gestützte Malware und Wirtschaftsspionage in Zentralasien

Eine verdächtige Infektion deckt eine fast ein Jahr laufende Kampagne auf

Am 20. August 2026 veröffentlichte Bitdefender die Ergebnisse einer Untersuchung, die von einer verdächtigen Infektion bei einer Regierungsinstitution mit Bezug zur Wirtschaft in einem nicht näher genannten Land Zentralasiens ausging. Die als SilkParasite bezeichnete Operation war zum Zeitpunkt der Entdeckung seit fast einem Jahr aktiv. Das genaue Land wurde nicht bekannt gegeben.

Die Kampagne wird einer Hackergruppe mit militärischen Fähigkeiten und Sitz in China zugeschrieben. Die Zuschreibung stützt sich auf Verbindungen zwischen mindestens einem Malware-Stamm und einer weiteren bereits bekannten, im Land ansässigen Spionagegruppe sowie auf mehrere in der Kampagne genutzte IP-Adressen, die chinesischen Telekommunikationsunternehmen zugeordnet werden können. Es handelt sich nicht um einen endgültigen Beweis, sondern um eine Konvergenz technischer und operativer Indizien.

Der erste Zugang: Office-Dokumente und Spearphishing

Der Angriff beginnt mit Spearphishing-E-Mails, die schädliche Microsoft-Office-Dokumente transportieren. Die Köderdateien sind in Archiven verpackt, um die Prüfungen der E-Mail-Gateways zu umgehen. Dieser Trick ermöglicht es, Filter zu überwinden, die unkomprimierte Office-Anhänge blockieren.

Die Köderdokumente sind so gestaltet, dass sie für Regierungsbehörden in Usbekistan, Turkmenistan, Kirgisistan, Tadschikistan, Georgien und Kasachstan relevant wirken. Mehrere geben sich als Ministerien aus. Die genauen betroffenen Microsoft-Office-Versionen wurden nicht bekannt gegeben. Es ist unklar, ob die Kampagne bestimmte Schwachstellen in der Software ausnutzt oder auf Social Engineering setzt, um die Opfer zum Aktivieren von Makros oder aktiven Inhalten zu bewegen.

Sieben Malware-Familien, fünf unbekannte, und ein C2 über Google Drive

Bitdefender hat sieben Malware-Familien identifiziert, von denen fünf zuvor nicht dokumentiert waren. Der am weitesten verbreitete Stamm ist DriveSilkRAT, der mit 65 Infektionen in Verbindung steht, die meisten davon in Asien. Die anderen sechs Familien spielen eine begrenztere oder spezialisiertere Rolle.

DriveSilkRAT kommuniziert nicht mit einem dedizierten Command-and-Control-Server. Es nutzt einen freigegebenen Ordner auf Google Drive als C2-Kanal. Die Malware liest Befehle und schreibt Daten innerhalb dieses Ordners und nutzt so den Verkehr zu Google Drive, der weniger strengen Kontrollen unterliegt als Verbindungen zu unbekannten Servern. Diese Wahl reduziert die Erkennbarkeit durch Netzwerküberwachungssysteme.

Das gesamte Arsenal ist darauf ausgelegt, Volumen und Fußabdruck zu begrenzen. Bitdefender beschreibt Techniken mit minimalem Footprint, dynamischer Ausführung im Speicher und Code, der bewusst so konstruiert ist, dass er früheren Malware-Familien nicht ähnelt. Ziel ist es, möglichst lange unentdeckt zu bleiben.

Künstliche Intelligenz hält Einzug in die Malware-Entwicklung

Die Kampagne SilkParasite markiert einen bedeutenden Schritt: Zwei E-Mail-Köder wurden von KI generiert. Weitere Hinweise deuten auf den Einsatz von KI bei der Entwicklung von fünf der sieben Malware-Stämme hin. Im Code hinterlassene Platzhalter bestätigten die Nutzung KI-gestützter Codierungswerkzeuge.

Laut Bitdefender wird KI als Unterstützung eingesetzt, um die Entwicklung zu beschleunigen. Die verräterischen Anzeichen sind gering, und es gibt keine qualitative Verschlechterung des Codes. Malware auf APT-Niveau bleibt das Werk menschlicher Profis: KI beschleunigt das Schreiben repetitiver Module, die Generierung von Varianten und die Erstellung von Ködern, ersetzt aber nicht das übergeordnete Design.

Staatliche, hochentwickelte Akteure übernehmen KI-gestützte Codierung selektiv und integrieren sie in professionelle Arbeitsabläufe. Es handelt sich nicht um vollständige Automatisierung, sondern um kontrollierte Beschleunigung.

Das Phänomen ist kein Einzelfall. Die NSA hat eine dringende Warnung vor nicht benannten Akteuren herausgegeben, die KI-generierte Exploit-Skripte gegen kritische Industrietechnologie einsetzen, mit potenziell gefährlichen Angriffen in der realen Welt. Eine Woche vor der NSA-Warnung hatte das Unternehmen Dreamgroup erklärt, einen automatisierten Cyberangriff gegen die Regierung Taiwans beobachtet zu haben. Der Einsatz von KI als Offensivwerkzeug wird zunehmend zur Konstante.

Ziele, Auswirkungen und geopolitischer Kontext

Es wurden 65 Infektionen bestätigt, die sich auf Asien konzentrieren. Die Ziele sind mit der Wirtschaft befasste Regierungsinstitutionen in sechs zentralasiatischen Ländern: Usbekistan, Turkmenistan, Kirgisistan, Tadschikistan, Georgien und Kasachstan. Das Ziel ist Wirtschaftsspionage.

Bitdefender vermutet, dass der schwindende russische Einfluss in Zentralasien ein Vakuum hinterlassen hat, das wirtschaftlich von China gefüllt wird. Dies würde das Interesse an den Wirtschaftsorganen der regionalen Regierungen erklären: Politiken, Abkommen und Finanzströme in einem Gebiet zu überwachen, das sich zunehmend an Peking orientiert.

Die Kampagne ist kein Einzelfall. Bitdefender hat im vergangenen Jahr zwei weitere Kampagnen mit China-Bezug verfolgt: eine gegen Europa und eine gegen Südasien gerichtete, einschließlich einer jüngsten Serie von Vorfällen gegen den Südkaukasus. SilkParasite fügt sich in eine größere, anhaltende Aktivität ein.

Was Organisationen tun können

Der Bericht von Bitdefender enthält keine spezifischen Gegenmaßnahmen. Es wurden keine detaillierten Kompromittierungsindikatoren veröffentlicht. Organisationen, die in der Region tätig sind oder mit sensiblen Wirtschaftsdaten umgehen, sollten auf Grundlage der beschriebenen Funktionsweise einige Gegenmaßnahmen in Betracht ziehen.

Da DriveSilkRAT Google Drive als Command-and-Control-Kanal nutzt, kann die Überwachung des Verkehrs zu diesem Dienst helfen, anomale Kommunikation durch Nicht-Browser-Prozesse zu erkennen. Die Verstärkung der Kontrollen an E-Mail-Gateways, insbesondere im Hinblick auf komprimierte Archive mit Office-Dokumenten, reduziert das Risiko des ersten Zugangs. Die Schulung der Mitarbeiter im Erkennen von Spearphishing-Ködern bleibt eine grundlegende Maßnahme.

Es sind keine spezifischen Patches bekannt, da keine Software-Schwachstellen als Hauptvektor identifiziert wurden. Der Angriff scheint eher auf Social Engineering und Umgehungstechniken zu beruhen als auf Zero-Day-Exploits. Der Mangel an Details macht jedoch eine wachsame Haltung ratsam, insbesondere für Regierungsstellen und Unternehmen, die in Zentralasien aktiv sind.