Инфраструктура на зловреден софтуер, свързана със SilkParasite, е проследена четири години назад в Централна Азия

SilkParasite е операция за кибершпионаж, насочена срещу правителствени, енергийни и телекомуникационни интереси в Централна Азия. Новият анализ на инфраструктурата показва, че активността зад кампанията може да е по-стара и по-широкообхватна, отколкото предполага нейното скорошно наименование.

Операцията е използвала фишинг имейли (spear-phishing), съдържащи убедителни документи на правителствена тематика и доверени програми за Windows, за инсталиране на зловреден софтуер за отдалечен достъп. Тези инструменти могат да осигурят на атакуващите позиция в мрежата на жертвата, позволявайки им да събират информация и да подават команди.

Анализаторите на Hunt.io, работещи с изследователя Guy Yasur, идентифицираха свързана група от SpiceRAT сървъри за управление и контрол (command-and-control), активни от края на 2025 г. до август 2026 г.

От Hunt.io заявиха в доклад, споделен с Cyber Security News (CSN), че инфраструктурата е свързана със SilkParasite, която е използвала седем набора от инструменти за отдалечен достъп срещу правителства в Централна Азия.

Откритието е важно, тъй като свързва наглед отделни системи чрез повторени технически следи, а не чрез един-единствен образец на зловреден софтуер. Обществено достъпната инфраструктура може да разкрие как една продължителна шпионска операция изгражда и използва повторно своите системи.

Инфраструктура на зловредния софтуер, свързана със SilkParasite

Споделените родителски домейни, съвпадащият цифров сертификат и копираната уеб страница свързват сървърите на SpiceRAT със системи, приписвани на NodeEdgeRAT и NomadRAT. Това не доказва, че един и същ атакуващ контролира всеки хост, но подсказва за обща операция или споделена функция за поддръжка.

Анализаторите за първи път маркираха сървъри, свързани със SpiceRAT, в края на 2025 г., използвайки по-ранна логика за откриване. През март 2026 г. пет сървъра се появиха в рамките на няколко дни при различни доставчици и в различни държави. Споделените имена на хостове и сертификати бяха по-силни връзки, тъй като единичното откриване показва само какво е работило на една машина.

Една от повтарящите се примамки беше пълно, но остаряло копие на началната страница на RTX Corporation. Страницата не съдържаше зловреден код, форма за въвеждане на идентификационни данни или механизъм за доставка.

Все пак нейният идентичен хеш на съдържанието се появи на 13 сървъра и даде на изследователите надежден начин да картират инфраструктура, която иначе изглеждаше несвързана, подобно на моделите, наблюдавани при операции със зловреден софтуер за отдалечен достъп.

Повторното използване на сертификати подсили връзката. Сертификат, създаден така, че да наподобява узбекско железопътно предприятие, се появи на осем хоста, включително системи, съдържащи клонираната страница.

Сертификатът е издаден от TLC — сертифициращ орган, управляван от организация, финансирана от свързания с държавата научноизследователски институт по комуникации на Китай, въпреки че самият издател не е индикатор за зловредна дейност.

Записите от пасивен DNS удължиха хронологията още повече. Свързани поддомейни бяха наблюдавани още в средата на 2022 г., което показва, че инфраструктурата съществува от поне четири години. Това подсказва, че SilkParasite може да е по-ново наименование за по-продължително съществуваща инициатива.

Мишени в Централна Азия и защита

Инфраструктурата е използвала имена, наподобяващи правителствени агенции, държавни енергийни оператори и телекомуникационни организации в Туркменистан, Таджикистан, Узбекистан, Киргизстан и Казахстан.

Тези имена трябва да се разглеждат като явни мишени за подправяне на идентичност, а не като доказателство, че посочените организации са били компрометирани. От Hunt.io заявиха, че са уведомили засегнатите организации и съответните национални екипи за реагиране при инциденти с компютърната сигурност (CERT) преди публикуването.

Насочването се припокрива със свързаната с Китай шпионска кампания SilkParasite, която използва документи за примамка и комбинация от вече установени и новодокументирани инструменти за отдалечен достъп.

Този доклад оценява връзката с Китай със средна степен на увереност. По-новите мрежови доказателства предоставят полезен контекст, но сами по себе си не установяват окончателно авторството на атаката.

Изследователите отбелязаха и сходства в наименованията с инфраструктура, свързвана по-рано със заподозряна дейност с китайска връзка, известна като IndigoZebra, както и посочени припокривания с FamousSparrow.

Подобни модели могат да бъдат резултат от споделени инструменти, доставчици на услуги или конвенции, така че те представляват следи за разследване, а не доказателство за пряка оперативна връзка.

За защитниците практическият извод е да търсят в мрежовите дневници, DNS записите и данните за сертификати индикаторите, публикувани по-долу, особено в засегнатите сектори.

Екипите трябва да преглеждат необичайната експозиция на отдалечен работен плот и незабавно да разследват наподобяващи домейни. Неотдавнашни случаи, включващи зловреден софтуер, злоупотребяващ с тунели за разработчици, показват защо изходящите връзки и пътищата за отдалечено управление заслужават непрекъснат контрол.

Организациите трябва също така да укрепят защитата си срещу фишинг, да потвърждават неочаквани документи на правителствена тематика чрез отделни канали, да ограничат ненужния отдалечен достъп и да следят за повторени артефакти от уеб страници или сертификати.

Корелирането на тези сигнали може да разкрие транзитни системи (staging) и системи за управление, които може да не бъдат засечени само от решенията за защита на крайни точки, предоставяйки на специалистите по реагиране на инциденти по-широка представа за потенциалната експозиция. Това включва системи с привилегирован достъп до критични услуги.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановете оригиналния им вид само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.