Onderzoekers hebben een nieuwe cyberespionagecampagne in kaart gebracht die zich richt op overheid en IT in Myanmar. De aanval heet Operation QUICSILVER en gebruikt een keten van misleiding en techniek om uiteindelijk een QUICAgent backdoor op de systemen van slachtoffers te plaatsen.
Opvallend is de insteek: de lures draaien om een ceremonie-uitnodiging, terwijl de uitvoering in meerdere stappen wordt opgebouwd via bestandstrucs, het misbruiken van legitieme tools en slimme communicatie met een command-and-control (C2)-server. In dit artikel leggen we uit hoe de aanval werkt en welke maatregelen organisaties kunnen nemen om dit soort dreigingen eerder te stoppen.
Operation QUICSILVER: focus op Myanmar
Volgens de onderzoekers (o.a. Seqrite Labs) is de campagne ontdekt door activiteiten te koppelen aan een dreigingsacteur met een China-nexus, met een moderate mate van zekerheid. De eerste waarnemingen dateren uit april 2026, waarna later in juni en juli 2026 aanvullende componenten zijn gezien.
De targets bevinden zich in de sectoren overheid en informatietechnologie. Daarmee past de aanval in het patroon van gerichte spionage: niet “breed schieten” naar willekeurige slachtoffers, maar specifieke doelgroepen benaderen met overtuigende document-lures.
Van nepuitnodiging naar stage-0 bestanden
De eerste variant maakte gebruik van een file-naam die verdacht werd gemaskeerd als “vakantie-/feestinformatie”: er werd een bestand gezien met de naam HolidayNotice.pdf.exe. Daarbij hoorde een lure die een Belgisch–Myanmar kalenderdocument nabootste.
Latere artefacten werken met een Virtual Hard Disk (VHD)-bestand. Zo’n VHD dient als “verpakking” voor volgende stappen: in de inhoud zit een Windows Shortcut (LNK) die zich gedraagt alsof het om een PDF gaat.
Wanneer de gebruiker het document opent, krijgt die een decoy PDF te zien. Die decoy bestaat uit een uitnodiging voor een graduatieceremonie, geschreven in het Birmese en gepresenteerd als afkomstig van de ITCSD (Information Technology and Cyber Security Department), onder het Ministerie van Transport en Communicatie in Myanmar.
Decoy als afleiding: misbruik van ftp.exe
De decoy is niet het echte doel; hij moet vooral tijd en aandacht afleiden. Terwijl de gebruiker naar het “officiële” document kijkt, wordt een verdere infectiestap gestart.
Daarvoor wordt een Windows-binaire gebruikt die door Microsoft is ondertekend: ftp.exe. De aanval misbruikt vooral de functionaliteit via de -s-optie, waarmee opdrachten uit een lokaal scriptbestand kunnen worden uitgevoerd.
In de technische uitwerking wordt het script gebruikt om in een verborgen mapstructuur bestanden te zoeken en samen te voegen. Daardoor wordt de volgende payload pas “op maat” opgebouwd op de machine van het slachtoffer.
Payload reconstrueren via copy /b
Beveiligingsonderzoekers beschrijven hoe de scriptlogica zoekt naar twee documentbestanden: header.doc en body.doc in een verborgen _rels-directory. Daarna combineert de aanval de twee delen met de native Windows-commando’s, specifiek met copy /b om de volgende fase te reconstrueren.
Dit type “bestandsknip-en-plak” is typisch voor multi-stage malware: het verlaagt de kans dat één enkel bestand direct herkend wordt als schadelijk, omdat de daadwerkelijke lading pas na lokale reconstructie zichtbaar wordt.
De QUICAgent backdoor: Go-implant met sandbox-evasie
Uiteindelijk wordt een implant geplaatst die door de onderzoekers is geduid als QUICAgent. De backdoor is Go-gebaseerd en bevat technieken om detectie in geautomatiseerde omgevingen te omzeilen.
Concreet worden sandbox-evasie-aanpassingen toegepast, waaronder:
- een random delay tussen 100 en 600 milliseconden
- het uitvoeren van 1.000 iteraties van SHA-256-hashing om tijdsvensters van sandboxprocessen te uit te putten
Pas daarna maakt de malware verbinding met de command-and-control infrastructuur.
Dynamische C2-bepaling via Cloudflare Workers
Een belangrijk detail in de werking van de QUICAgent backdoor is hoe het de juiste C2-locatie bepaalt. De backdoor haalt het adres dynamisch op door een HTTP GET-verzoek te doen naar twee Cloudflare Workers-domeinen.
Na het ophalen wordt het uiteindelijke doel samengesteld. In de beschreven analyse wordt het IP-adres 104.64.211[.]22 gebruikt, waarna de malware poort 443 aan de bestemming koppelt. Vervolgens communiceert de malware met de C2 via QUIC over UDP op poort 443.
De aanvankelijke “beacon” richting het netwerk bevat daarnaast basisinformatie over het gecompromitteerde systeem. De beacon wordt elke vijf seconden verstuurd, en elke geïnfecteerde machine krijgt een uniek identificatiemiddel, genoemd als X-Agent-ID, om slachtoffers van elkaar te onderscheiden.
Beperkte commando’s, wel praktische controle
Hoewel QUICAgent qua functies als relatief “compact” wordt omschreven, biedt de backdoor vijf commandotypes. De focus ligt op praktische beheertaken, zoals:
- het uitvoeren van commando’s
- het overdragen van bestanden
- het doorbladeren van mappen
- het aanpassen van de beacon-interval
Voor een spionagecampagne is dit vaak genoeg om data te verzamelen, modules aan te sturen en de bewerkingstijd te optimaliseren.
Persistente toegang via LNK in Startup-map
Om opnieuw op te starten na een herstart of de volgende login, zet de malware persistente uitvoering op. Dat gebeurt door een LNK-bestand te plaatsen in de Windows Startup-map van de huidige gebruiker. Zodra de gebruiker opnieuw inlogt, wordt de LNK automatisch uitgevoerd.
Dit betekent dat incident response niet alleen draait om “het bestand verwijderen”, maar ook om het controleren van autoruns en gebruikersspecifieke opstartmechanismen.
Koppeling met COOLCLIENT en kernel-mode stealth
Het verhaal stopt niet bij QUICAgent. De publicatie vermeldt dat een China-linked Mustang Panda actor ook is waargenomen met een aangepaste variant van een bekende backdoor: COOLCLIENT.
Bij die variant kan een gesigned kernel-mode driver worden ingezet (genoemd als Msagent.sys), wat vergelijkbaar is met kernel-mode verbeteringen uit eerdere waarnemingen zoals TONESHELL. Ook wordt er gesproken over plaatsing via PlugX met DLL sideloading, een techniek die de groep al vaker misbruikte.
COOLCLIENT ondersteunt meerdere functies, waaronder keylogging, diefstal van klembordinhoud, credential harvesting, file management en systeemverkenning. Daarnaast wordt een plugin-achtig uitbreidingsmechanisme genoemd.
Verder geeft de broninformatie aan dat de driver het geheel probeert te verbergen: processen worden afgeschermd, gerelateerde bestanden en registeritems worden beschermd en inspectie of wijziging wordt bemoeilijkt. In intrusies in Myanmar, Mongolië, Pakistan en Rusland is die aangepaste variant gedetecteerd.
Wat kunt u doen als uw organisatie doelwit is?
Omdat de aanval draait om sociale misleiding en een multi-stage uitvoering, is een combinatie van preventie en detectie belangrijk. Hieronder staan maatregelen die direct aansluiten op de beschreven keten.
1) Zet in op bescherming tegen document-lures
Medewerkers krijgen in deze campagne een overtuigende uitnodiging voorgeschoteld via een PDF-decoy in Birmaans. Zorg daarom voor beleid en training rondom verdachte documentstappen, vooral wanneer er aanwijzingen zijn dat een bestand niet echt is wat het lijkt (bijvoorbeeld rare bestandsnamen of onverwachte executable-achtervoegsels).
2) Monitor op LNK-activiteit en Startup-autorisaties
De inzet van een LNK-file als schakel in de keten en het plaatsen daarvan in de Startup-map maakt het relevant om autoruns en gebruikersspecifieke opstartmechanismen continu te controleren. Zoek naar nieuw aangemaakte of ongebruikelijke LNK-bestanden in die context.
3) Let op LOLBAS-gebruik: ftp.exe
In de beschrijving wordt ftp.exe misbruikt als onderdeel van de uitvoering. Hoewel ftp.exe legitiem is, is het gedrag verdacht wanneer het wordt aangestuurd via een script (-s) of wanneer het niet past bij een normale werkstroom binnen uw organisatie. Hanteer dus contextgebonden logging en alerting.
4) Detecteer sandbox-evasiegedrag
De backdoor gebruikt random delays en herhaalde SHA-256 verwerking om geautomatiseerde analyse te frustreren. Dit soort CPU-tijd en korte “wacht”-vensters kan zichtbaar worden in endpoint telemetry. Combineer proces- en resource-logging zodat afwijkend gedrag sneller tot een incident leidt.
5) Controleer uitgaande communicatie op QUIC/UDP 443
QUIC over UDP op poort 443 naar een C2 is een kenmerk dat — afhankelijk van uw netwerkarchitectuur — detecteerbaar kan zijn. Richt netwerkmonitoring in om ongebruikelijke QUIC-connecties of nieuw soortig verkeer richting onbekende bestemmingen te signaleren.
Gerelateerde aandachtspunten: supply chain en applicatiebeveiliging
Deze campagne laat zien dat aanvallen vaak verlopen via slimme samenstelling van payloads en het misbruiken van legitieme componenten. Dat sluit aan bij bredere risico’s rondom applicatiebeveiliging en integriteit van softwareketens. Als u wilt verdiepen hoe securityteams dit soort aanvallen terugbrengen in governance en implementatie, kan ook dit artikel relevant zijn: Application security in het AI-tijdperk.
Daarnaast is het in supply chain context nuttig om te begrijpen hoe aanvallers onderdelen verpakken en pas later “actief” maken. Gerelateerd lezen: Rust supply chain: build-time malware via crates.
Conclusie
Operation QUICSILVER toont een klassieke combinatie van social engineering en technische uitvoering: slachtoffers krijgen een decoy-graduatie-uitnodiging te zien, terwijl onder de motorkap een keten van LNK-stappen, het misbruik van ftp.exe en payload-reconstructie leidt tot de QUICAgent backdoor. Daarna volgt communicatie met een dynamisch samengestelde C2-locatie via QUIC over UDP en persistente uitvoering via Windows Startup.
Voor organisaties betekent dit: versterk de verdediging rond document-lures, bewaak autoruns en LNK-activiteiten, en koppel endpoint- en netwerktelemetrie aan elkaar zodat u atypisch gedrag vroeg herkent. Met die aanpak verkleint u de kans dat een “documentincident” zich ontwikkelt tot langdurige toegang.
Bron: https://thehackernews.com/2026/08/operation-quicsilver-targets-myanmar.html
