SilkParasite: malware assistito da IA e spionaggio economico in Asia Centrale

Un’infezione sospetta svela una campagna durata quasi un anno

Il 20 agosto 2026 Bitdefender ha reso pubblici i risultati di un’indagine partita da un’infezione sospetta in un’istituzione governativa legata all’economia di un paese non specificato dell’Asia centrale. L’operazione, denominata SilkParasite, era attiva da quasi un anno al momento della scoperta. Il paese esatto non è stato reso noto.

La campagna è attribuita a un gruppo di hacker con capacità di livello militare e base in Cina. L’attribuzione si basa su collegamenti tra almeno un ceppo di malware e un altro gruppo di spionaggio già noto con base nel paese, oltre che su diversi indirizzi IP utilizzati nella campagna riconducibili a compagnie di telecomunicazioni cinesi. Non si tratta di una prova definitiva, ma di una convergenza di elementi tecnici e operativi.

L’accesso iniziale: documenti Office e spearphishing

L’attacco inizia con email di spearphishing che trasportano documenti Microsoft Office malevoli. I file esca sono impacchettati in archivi per eludere i controlli dei gateway di posta. Questo stratagemma permette di superare i filtri che bloccano allegati Office non compressi.

I documenti esca sono costruiti per apparire pertinenti ad agenzie governative di Uzbekistan, Turkmenistan, Kirghizistan, Tagikistan, Georgia e Kazakistan. Diversi impersonano ministeri. Le versioni esatte di Microsoft Office coinvolte non sono state rese note. Non è chiaro se la campagna sfrutti vulnerabilità specifiche nel software o si affidi all’ingegneria sociale per convincere le vittime ad abilitare macro o contenuti attivi.

Sette famiglie di malware, cinque sconosciute, e un C2 su Google Drive

Bitdefender ha individuato sette famiglie di malware, di cui cinque mai documentate in precedenza. Il ceppo più diffuso è DriveSilkRAT, associato a 65 infezioni, la maggior parte in Asia. Le altre sei famiglie hanno un ruolo più limitato o specializzato.

DriveSilkRAT non comunica con un server di comando e controllo dedicato. Utilizza una cartella condivisa su Google Drive come canale C2. Il malware legge comandi e scrive dati all’interno della cartella, sfruttando il traffico verso Google Drive, che è meno soggetto a controlli rispetto a connessioni verso server sconosciuti. Questa scelta riduce la rilevabilità da parte dei sistemi di monitoraggio di rete.

L’intero arsenale è progettato per limitare il volume e l’impronta. Bitdefender descrive tecniche di footprint minimo, esecuzione dinamica in memoria e codice deliberatamente costruito per non somigliare a famiglie di malware precedenti. L’obiettivo è passare inosservati il più a lungo possibile.

L’intelligenza artificiale entra nello sviluppo del malware

La campagna SilkParasite segna un passaggio rilevante: due esche email sono state generate da IA. Ulteriori prove indicano l’impiego di IA nello sviluppo di cinque dei sette ceppi di malware. Placeholder lasciati nel codice hanno confermato l’uso di strumenti di codifica assistita.

Secondo Bitdefender, l’IA viene usata come assistenza per accelerare lo sviluppo. I segni rivelatori sono pochi e non c’è una degradazione qualitativa del codice. Il malware di grado APT resta opera di professionisti umani: l’IA accelera la scrittura di moduli ripetitivi, la generazione di varianti e la produzione di esche, ma non sostituisce la progettazione complessiva.

Attori statali sofisticati stanno adottando la codifica assistita da IA in modo selettivo, integrandola nei flussi di lavoro professionali. Non si tratta di un’automazione completa, ma di un’accelerazione controllata.

Il fenomeno non è isolato. L’NSA ha emesso un avviso urgente su attori non nominati che utilizzano script di exploit generati da IA per colpire tecnologia industriale critica, con potenziali attacchi pericolosi nel mondo reale. Una settimana prima dell’avviso NSA, la società Dreamgroup aveva dichiarato di aver osservato un attacco informatico automatizzato contro il governo di Taiwan. L’uso dell’IA come strumento offensivo sta diventando una costante.

Obiettivi, impatto e contesto geopolitico

Sono state confermate 65 infezioni, concentrate in Asia. Gli obiettivi sono istituzioni governative legate all’economia in sei paesi dell’Asia centrale: Uzbekistan, Turkmenistan, Kirghizistan, Tagikistan, Georgia e Kazakistan. La finalità è lo spionaggio economico.

Bitdefender ipotizza che il declino dell’influenza russa in Asia centrale abbia creato un vuoto colmato economicamente dalla Cina. Questo spiegherebbe l’interesse per gli organi economici dei governi regionali: monitorare politiche, accordi e flussi finanziari in un’area sempre più orientata verso Pechino.

La campagna non è un episodio isolato. Bitdefender ha tracciato altre due campagne con nesso cinese nell’ultimo anno: una rivolta all’Europa e una all’Asia meridionale, inclusa una recente serie di incidenti contro il Caucaso meridionale. SilkParasite si inserisce in un’attività più ampia e persistente.

Cosa possono fare le organizzazioni

Il rapporto di Bitdefender non include mitigazioni specifiche. Non sono stati pubblicati indicatori di compromissione dettagliati. Le organizzazioni che operano nell’area o che trattano dati economici sensibili dovrebbero considerare alcune contromisure basate sul funzionamento descritto.

Poiché DriveSilkRAT utilizza Google Drive come canale di comando e controllo, il monitoraggio del traffico verso questo servizio può aiutare a individuare comunicazioni anomale da parte di processi non browser. Il rafforzamento dei controlli sui gateway email, con attenzione agli archivi compressi contenenti documenti Office, riduce il rischio di accesso iniziale. La formazione del personale sul riconoscimento di esche di spearphishing resta una misura di base.

Non sono note patch specifiche perché non risultano vulnerabilità software identificate come vettore principale. L’attacco sembra poggiare sull’ingegneria sociale e su tecniche di evasione piuttosto che su exploit di giorno zero. Tuttavia, la mancanza di dettagli rende prudente un atteggiamento di vigilanza, soprattutto per enti governativi e imprese attive in Asia centrale.