SilkParasite : malware assisté par IA et espionnage économique en Asie centrale

Une infection suspecte révèle une campagne de près d’un an

Le 20 août 2026, Bitdefender a rendu publics les résultats d’une enquête partie d’une infection suspecte dans une institution gouvernementale liée à l’économie d’un pays non spécifié d’Asie centrale. L’opération, baptisée SilkParasite, était active depuis près d’un an au moment de sa découverte. Le pays exact n’a pas été divulgué.

La campagne est attribuée à un groupe de pirates informatiques disposant de capacités de niveau militaire et basé en Chine. L’attribution repose sur des liens entre au moins une souche de malware et un autre groupe d’espionnage déjà connu et basé dans le pays, ainsi que sur plusieurs adresses IP utilisées dans la campagne et rattachées à des opérateurs de télécommunications chinois. Il ne s’agit pas d’une preuve définitive, mais d’une convergence d’éléments techniques et opérationnels.

L’accès initial : documents Office et spearphishing

L’attaque commence par des e-mails de spearphishing contenant des documents Microsoft Office malveillants. Les fichiers leurres sont conditionnés dans des archives afin de contourner les contrôles des passerelles de messagerie. Ce stratagème permet de franchir les filtres qui bloquent les pièces jointes Office non compressées.

Les documents leurres sont conçus pour paraître pertinents pour des agences gouvernementales d’Ouzbékistan, du Turkménistan, du Kirghizistan, du Tadjikistan, de Géorgie et du Kazakhstan. Plusieurs usurpent l’identité de ministères. Les versions exactes de Microsoft Office concernées n’ont pas été divulguées. Il n’est pas clair si la campagne exploite des vulnérabilités spécifiques du logiciel ou si elle s’appuie sur l’ingénierie sociale pour convaincre les victimes d’activer des macros ou du contenu actif.

Sept familles de malwares, cinq inconnues, et un C2 sur Google Drive

Bitdefender a identifié sept familles de malwares, dont cinq jamais documentées auparavant. La souche la plus répandue est DriveSilkRAT, associée à 65 infections, la plupart en Asie. Les six autres familles ont un rôle plus limité ou spécialisé.

DriveSilkRAT ne communique pas avec un serveur de commande et contrôle dédié. Il utilise un dossier partagé sur Google Drive comme canal C2. Le malware lit des commandes et écrit des données dans ce dossier, en exploitant le trafic vers Google Drive, moins soumis à des contrôles que les connexions vers des serveurs inconnus. Ce choix réduit la détectabilité par les systèmes de surveillance réseau.

L’ensemble de l’arsenal est conçu pour limiter le volume et l’empreinte. Bitdefender décrit des techniques d’empreinte minimale, d’exécution dynamique en mémoire et un code délibérément construit pour ne pas ressembler à des familles de malwares antérieures. L’objectif est de passer inaperçu le plus longtemps possible.

L’intelligence artificielle entre dans le développement des malwares

La campagne SilkParasite marque un tournant notable : deux e-mails leurres ont été générés par IA. D’autres preuves indiquent l’utilisation de l’IA dans le développement de cinq des sept souches de malwares. Des espaces réservés laissés dans le code ont confirmé l’emploi d’outils de codage assisté.

Selon Bitdefender, l’IA est utilisée comme assistance pour accélérer le développement. Les signes révélateurs sont peu nombreux et il n’y a pas de dégradation qualitative du code. Les malwares de niveau APT restent l’œuvre de professionnels humains : l’IA accélère l’écriture de modules répétitifs, la génération de variantes et la production de leurres, mais ne remplace pas la conception globale.

Des acteurs étatiques sophistiqués adoptent le codage assisté par IA de manière sélective, en l’intégrant dans des flux de travail professionnels. Il ne s’agit pas d’une automatisation complète, mais d’une accélération maîtrisée.

Le phénomène n’est pas isolé. La NSA a émis un avertissement urgent concernant des acteurs non nommés qui utilisent des scripts d’exploit générés par IA pour cibler des technologies industrielles critiques, avec des attaques potentiellement dangereuses dans le monde réel. Une semaine avant l’avertissement de la NSA, la société Dreamgroup avait déclaré avoir observé une attaque informatique automatisée contre le gouvernement de Taïwan. L’utilisation de l’IA comme outil offensif devient une constante.

Objectifs, impact et contexte géopolitique

65 infections ont été confirmées, concentrées en Asie. Les cibles sont des institutions gouvernementales liées à l’économie dans six pays d’Asie centrale : Ouzbékistan, Turkménistan, Kirghizistan, Tadjikistan, Géorgie et Kazakhstan. L’objectif est l’espionnage économique.

Bitdefender émet l’hypothèse que le déclin de l’influence russe en Asie centrale a créé un vide comblé économiquement par la Chine. Cela expliquerait l’intérêt pour les organes économiques des gouvernements régionaux : surveiller les politiques, les accords et les flux financiers dans une région de plus en plus tournée vers Pékin.

La campagne n’est pas un épisode isolé. Bitdefender a suivi deux autres campagnes présentant un lien avec la Chine au cours de l’année écoulée : l’une visant l’Europe et l’autre l’Asie du Sud, y compris une récente série d’incidents contre le Caucase du Sud. SilkParasite s’inscrit dans une activité plus large et persistante.

Ce que peuvent faire les organisations

Le rapport de Bitdefender ne comprend pas de mesures d’atténuation spécifiques. Aucun indicateur de compromission détaillé n’a été publié. Les organisations opérant dans la région ou traitant des données économiques sensibles devraient envisager certaines contre-mesures fondées sur le fonctionnement décrit.

Étant donné que DriveSilkRAT utilise Google Drive comme canal de commande et contrôle, la surveillance du trafic vers ce service peut aider à détecter des communications anormales provenant de processus autres que le navigateur. Le renforcement des contrôles sur les passerelles de messagerie, en prêtant attention aux archives compressées contenant des documents Office, réduit le risque d’accès initial. La formation du personnel à la reconnaissance des leurres de spearphishing reste une mesure de base.

Aucun correctif spécifique n’est connu, car aucune vulnérabilité logicielle n’a été identifiée comme vecteur principal. L’attaque semble reposer sur l’ingénierie sociale et des techniques d’évasion plutôt que sur des exploits zero-day. Toutefois, le manque de détails incite à la prudence et à la vigilance, en particulier pour les organismes gouvernementaux et les entreprises actifs en Asie centrale.