Une nouvelle opération de cyberespionnage, observée récemment, intrigue la communauté de la sécurité : SilkParasite espionnage. D’après un rapport technique publié par Bitdefender Labs, cette campagne vise des organismes gouvernementaux d’Asie centrale et s’appuie sur une boîte à outils de sept RAT (Remote Access Tool). Parmi eux, cinq familles n’auraient pas été documentées auparavant.
Découverte à la fin de 2025, l’activité est attribuée avec un niveau de confiance « moyen » à un cluster de menace lié à la Chine. Ce qui la rend particulièrement intéressante, c’est la présence de signes d’un développement assisté par l’IA, mais pas sous la forme d’un malware entièrement généré par des modèles : l’IA semblerait plutôt avoir été utilisée pour accélérer ou soutenir le travail des développeurs humains.
Une campagne d’espionnage centrée sur des gouvernements
Les analystes indiquent que SilkParasite a été observée contre des structures étatiques dans plusieurs pays d’Asie centrale. Les documents récupérés ont été conçus pour paraître pertinents pour des institutions gouvernementales, avec des leurres adaptés à la région et, dans certains cas, à des ministères spécifiques.
Bitdefender mentionne notamment des documents orientés vers l’
Sept RAT, dont cinq nouveaux
Le cœur de la campagne repose sur sept familles de RAT. Cinq d’entre elles n’avaient pas, à la connaissance des enquêteurs, été décrites jusque-là :
- DriveSilkRAT (ensemble .NET/C++)
- CookiETagRAT (C++)
- NomadRAT (C++)
- GoginRAT (Go)
- NodeEdgeRAT (JavaScript)
Les outils s’inscrivent dans une logique professionnelle : au lieu de ressembler à des malwares « produits en série », l’ensemble montre des marqueurs typiques d’un développement par des opérateurs humains utilisant l’IA de façon plus ciblée, par exemple pour fluidifier certaines étapes de création ou de mise en forme du code.
Indices d’aide à l’IA : le code “assistant” plutôt que le malware généré
Bitdefender souligne un point précis : la campagne présente des traces de développement assisté par l’IA au sein de code jugé par ailleurs expert. Cela diffère d’un scénario où l’IA générerait automatiquement un malware complet et « prêt à déployer ».
Le rapport met aussi en avant un cas particulièrement révélateur : un leurre de phishing clairement généré par l’IA. Toutefois, c’est aussi la seule zone où les auteurs semblent avoir été moins soigneux, ce qui a conduit les analystes à formuler une hypothèse : l’erreur pourrait être volontaire, afin de perturber l’attribution.
Enfin, d’autres signaux apparaissent dans certains RAT : fonctions de test en Go, clés chiffrées codées en dur, ou champs de configuration manifestement laissés avec des valeurs “gabarit”. Ces éléments renforcent l’idée d’un flux de travail intégrant des outils d’assistance.
Chaîne d’attaque : archives RAR protégées et macro
Les attaques commencent généralement par des emails d’hameçonnage ciblés (spear-phishing). Les messages distribuent des archives RAR protégées par mot de passe, contenant des documents Microsoft Office malveillants.
Le mot de passe permettant d’ouvrir l’archive est fourni dans le corps de l’email. Une fois le document ouvert, une macro se charge ensuite de lancer une séquence conduisant à du DLL sideloading afin de déposer le premier payload.
Selon Bitdefender, les documents étaient régionalement ajustés. Les macros, elles, pouvaient aussi contenir une logique de vérification préalable : dans certains cas, elles contrôlent si une solution antivirus de Kaspersky est installée et active avant l’exécution. Cette étape suggère une volonté de contourner la détection, d’autant que le produit est présent dans la région.
DLL sideloading au centre des opérations
Sur l’ensemble de la campagne, l’élément le plus constant est la technique de DLL sideloading. Bitdefender précise que le signal le plus fiable ne dépend pas uniquement du nom de la DLL, mais plutôt du couplage : une application légitimement signée charge une bibliothèque placée à côté d’elle, depuis un emplacement inhabituel.
En pratique, cette approche rend la détection plus complexe. Comme les malwares exploitent des composants “attendus” (ou des binaires signés), des solutions basées uniquement sur des signatures peuvent rater les comportements anormaux. Les chercheurs insistent alors sur l’intérêt d’observer des indicateurs comportementaux, par exemple des relations inhabituelles entre processus et services réseau.
Architecture modulaire et plugins pour réduire l’empreinte
Un autre marqueur important de SilkParasite espionnage est sa structure modulaire. Les RAT adoptent une architecture orientée plugins. Cela permet aux opérateurs d’ajouter ou d’activer des capacités à la demande, tout en limitant le “bruit” et les éléments détectables.
Cette conception présente aussi un avantage opérationnel : les auteurs peuvent mettre à jour des composants spécifiques sans remplacer nécessairement toute la fondation. De plus, les implants couvrent quatre langages différents : .NET, C++, Go et JavaScript.
Livraison via programmes signés “apportés”
La méthode de livraison suit un schéma décrit par Bitdefender : au lieu d’utiliser un binaire déjà présent sur la machine de la victime, l’attaque embarque une copie de programme signée. Les opérateurs placent ensuite une DLL malveillante sous un nom que l’exécutable recherchera, déclenchant l’exécution de code à partir d’un chemin choisi.
Les analystes notent également que l’activité peut utiliser des services cloud comme relais de commande et de contrôle pour certains RAT, ce qui s’intègre dans une logique de faible volume et de furtivité.
Zoom sur les cinq RAT nouvellement décrits
Pour mieux comprendre la campagne, voici des éléments clés sur les principaux RAT mis en avant par Bitdefender.
DriveSilkRAT (.NET/C++) : contrôle via Google Drive
DriveSilkRAT s’appuie sur Google Drive pour la commande et le contrôle. Le RAT surveille un dossier spécifique pour récupérer des tâches, exécute ensuite des actions via un système de plugins .NET en mémoire, puis renvoie les résultats au même endroit.
Il prend en charge 12 plugins : liste des processus, énumération système et réseau, gestion de fichiers et exécution de commandes.
CookiETagRAT (C++) : ETag et en-têtes HTTP
CookiETagRAT repose sur des réponses HTTP, en exploitant notamment les en-têtes de type cookie/ETag pour recevoir et interpréter des commandes.
NomadRAT (C++) : orchestrateur et plugins à la demande
NomadRAT comprend un orchestrateur central, une bibliothèque dédiée au transfert C2, et des plugins récupérés depuis le serveur en fonction d’identifiants numériques uniquement lorsque cela est nécessaire. Cette approche contribue à limiter la surface et le volume de données.
GoginRAT (Go) : plugins indépendants
GoginRAT présente des similitudes architecturales avec NomadRAT. Il utilise aussi un transmetteur distinct pour le C2, et sépare ses capacités en plugins autonomes, couvrant par exemple l’accès au système de fichiers et des fonctions de shell. Les résultats sont routés via un callback partagé.
Les chercheurs signalent que ce RAT inclut aussi des éléments associés à des tests en Go, ainsi qu’une clé AES codée en dur avec une valeur littérale.
NodeEdgeRAT (JavaScript) : un script “tout-en-un”
Enfin, NodeEdgeRAT, écrit en JavaScript, regroupe dans un même script les fonctions couvrant l’exécution de commandes, la gestion de fichiers et le transfert. Le rapport le décrit comme une implémentation compacte mais complète.
Dans ce RAT, Bitdefender mentionne également l’existence d’un champ de configuration contenant une valeur littérale pour une clé de chiffrement.
Quelles victimes et quelle ampleur ?
Bitdefender indique avoir observé environ 65 instances infectées avec DriveSilkRAT, avec une majorité dans la région Asie. Le rapport ne fournit pas, dans le texte exploité ici, un décompte complet pour chacun des autres RAT.
Ce qui ressort clairement, en revanche, c’est la logique d’ensemble : des implants discrets, modulaires et capables de s’adapter à l’environnement de la victime, plutôt qu’une campagne basée uniquement sur un “gros” fichier unique facilement détectable.
Pourquoi la détection est difficile et quoi surveiller
Les chercheurs expliquent que des implants à faible empreinte, fonctionnant via des services cloud légitimes, se prêtent mal à une détection “par volume”. La réponse efficace dépend donc davantage de l’observation des comportements.
En particulier, il devient crucial de repérer des anomalies dans les relations entre processus et services réseau, plutôt que de se limiter à des signatures liées à un artefact précis. Le DLL sideloading reste, dans tous les cas, la surface la plus cohérente à investiguer.
Conclusion : SilkParasite espionnage, une opération pragmatique et adaptable
Au final, SilkParasite espionnage illustre une campagne de cyberespionnage pensée pour durer : RAT multiples, architecture modulaire à plugins, et mécanismes de livraison s’appuyant sur des binaires signés et du DLL sideloading. Les indices liés à une assistance à l’IA s’observent plutôt dans la manière dont certains composants sont construits, ainsi que dans un leurre de phishing manifestement généré.
Pour les équipes sécurité, l’enjeu est de dépasser la logique de signature et de se concentrer sur les schémas comportementaux—en particulier lorsque des applications légitimes se comportent de manière inhabituelle en chargeant des bibliothèques depuis des emplacements inattendus.
Source: https://thehackernews.com/2026/08/silkparasite-espionage-campaign-targets.html
