SilkParasite mira governos com novos malwares de espionagem

O que aconteceu?

A Bitdefender Labs revelou uma campanha de espionagem digital anteriormente não documentada que recebeu o nome de SilkParasite.

A investigação começou no final de 2025, quando pesquisadores detectaram uma infecção suspeita em um órgão governamental da Ásia Central envolvido em decisões econômicas. A análise posterior revelou uma operação mantida ao longo de meses, com múltiplas famílias de malware e infraestrutura própria de desenvolvimento e distribuição.

Os pesquisadores identificaram sete famílias de RATs — Remote Access Trojans, ferramentas que permitem ao atacante controlar remotamente um equipamento comprometido.

Cinco delas foram documentadas e nomeadas pela primeira vez pela Bitdefender:

DriveSilkRAT;
CookiETagRAT;
NomadRAT;
GoginRAT;
NodeEdgeRAT.

As outras duas são ferramentas já conhecidas:

SpiceRAT;
BloodAlchemy.

O que é um RAT?

Um RAT é um malware desenvolvido para permitir acesso remoto ao computador da vítima.

Dependendo da ferramenta, o invasor pode realizar ações como:

executar comandos;
listar processos;
navegar por arquivos;
transferir dados;
coletar informações do sistema;
instalar funcionalidades adicionais.

No caso do SilkParasite, grande parte das ferramentas possui arquitetura modular, o que permite aos operadores instalar apenas os componentes necessários em cada vítima.

Como o ataque começa?

Segundo a Bitdefender, o acesso inicial ocorre principalmente por meio de spear-phishing, ou phishing altamente direcionado.

Os atacantes utilizam documentos maliciosos do Microsoft Office, em alguns casos armazenados dentro de arquivos RAR protegidos por senha.

A senha para abrir o arquivo é fornecida no próprio e-mail. Esse procedimento pode dificultar a inspeção automática realizada por gateways de e-mail e sandboxes.

Documentos são adaptados às vítimas

Os arquivos recuperados pelos pesquisadores foram preparados para parecer relevantes a instituições governamentais de países como:

Uzbequistão;
Turcomenistão;
Quirguistão;
Tajiquistão;
Cazaquistão.

Outro documento encontrado em uma plataforma pública de compartilhamento de malware estava direcionado a uma entidade governamental da Geórgia.

Os documentos imitavam assuntos e instituições relevantes à região, aumentando a possibilidade de que um funcionário considerasse o arquivo legítimo.

Macros iniciam uma cadeia de DLL sideloading

Quando o documento malicioso é aberto e a macro é executada, o ataque instala os componentes necessários para realizar uma técnica conhecida como DLL sideloading.

O que é DLL sideloading?

O Windows permite que programas carreguem bibliotecas DLL necessárias para seu funcionamento.

Criminosos podem abusar desse comportamento colocando uma DLL maliciosa ao lado de um executável legítimo e assinado digitalmente.

Quando o programa confiável é iniciado, ele encontra a biblioteca preparada pelo atacante e a carrega.

Em termos simples:

programa legítimo → procura DLL → encontra biblioteca maliciosa → executa código do atacante

O SilkParasite utiliza diversos programas legítimos como carregadores, entre eles softwares da Calibre, ABBYY, Quick Heal, Microsoft Defender e Mp3tag.

Isso torna a detecção mais complexa porque a execução inicial ocorre dentro de processos pertencentes a programas legítimos.

Malware verifica a presença da Kaspersky

Um detalhe importante encontrado na cadeia de ataque é que uma das macros verifica se o processo:

avp.exe

está sendo executado.

Esse processo está associado ao software de segurança da Kaspersky.

A Bitdefender avalia que essa verificação demonstra que os operadores adaptaram a cadeia considerando ferramentas de segurança comuns nas organizações da região.

Isso não significa que a campanha explore alguma vulnerabilidade da Kaspersky.

A verificação serve para identificar sua presença e adaptar o comportamento do malware com o objetivo de reduzir a possibilidade de detecção.

DriveSilkRAT utiliza Google Drive como C2

Entre as novas famílias identificadas, o DriveSilkRAT é uma das mais relevantes.

Em vez de depender exclusivamente de um servidor criminoso tradicional, o malware utiliza Google Drive como infraestrutura de Command and Control — C2.

O computador comprometido consulta uma pasta compartilhada no Google Drive em busca de comandos.

Os operadores colocam arquivos com instruções nessa pasta, e o malware:

consulta o Google Drive;
baixa a tarefa;
executa o comando ou plugin;
envia os resultados novamente para o serviço.

Por que utilizar um serviço legítimo?

Para uma ferramenta de monitoramento de rede, uma conexão com um domínio desconhecido pode chamar atenção.

Já o tráfego para serviços como Google Drive é comum em muitas empresas.

Esse tipo de abuso é conhecido como Living Off Trusted Services — LOTS, no qual criminosos utilizam plataformas legítimas para esconder atividades maliciosas dentro de tráfego aparentemente normal.

A Bitdefender observou aproximadamente 65 identificadores de infecção associados ao DriveSilkRAT, principalmente na Ásia.

A própria empresa ressalta que esse número representa um limite superior e não deve ser interpretado automaticamente como 65 computadores diferentes, porque a lógica de identificação pode gerar mais de um identificador para a mesma máquina.

CookiETagRAT esconde comandos em cabeçalhos HTTP

Outra ferramenta inédita encontrada foi o CookiETagRAT.

Em vez de receber comandos apenas no conteúdo convencional das requisições HTTP, o malware utiliza cabeçalhos normalmente associados ao funcionamento legítimo da web.

Os comandos podem ser enviados através de campos como:

ETag

O ETag é normalmente utilizado por servidores web e navegadores para verificar se um conteúdo armazenado em cache sofreu alterações.

Nesse caso, o campo é reutilizado como canal de comunicação entre o malware e o operador.

Isso pode fazer com que uma análise superficial interprete o tráfego como comunicação HTTP normal.

NomadRAT e GoginRAT utilizam arquitetura modular

O NomadRAT, desenvolvido em C++, possui uma arquitetura composta por:

um componente principal;
uma biblioteca dedicada à comunicação C2;
plugins baixados apenas quando necessários.

Já o GoginRAT, escrito em Go, possui uma arquitetura semelhante.

A ferramenta separa componentes relacionados ao sistema de arquivos e à execução de comandos, permitindo inclusive que diferentes atividades ocorram simultaneamente no computador comprometido.

Segundo os pesquisadores, a semelhança estrutural entre NomadRAT e GoginRAT é um dos elementos que sugerem possível utilização de IA como ferramenta de assistência ao desenvolvimento.

Entretanto, a Bitdefender classifica essa avaliação apenas com confiança média.

NodeEdgeRAT utiliza JavaScript e Node.js

O NodeEdgeRAT se diferencia das outras ferramentas por ser desenvolvido em JavaScript.

O malware utiliza um runtime legítimo do Node.js para executar seu código e possui funcionalidades relacionadas a:

execução de comandos;
gerenciamento de arquivos;
transferência de arquivos.

Diferentemente de grande parte das outras famílias da campanha, o NodeEdgeRAT não depende de um sistema separado de plugins.

Suas funções principais ficam concentradas em um único script.

Para persistência, a ferramenta cria uma tarefa agendada chamada:

SysEdgeUpdateTaskMachineCore

O nome tenta se parecer com uma rotina legítima de atualização do Microsoft Edge.

BloodAlchemy e SpiceRAT reforçam possível ligação com atores chineses

A Bitdefender também encontrou duas famílias já conhecidas.

Uma delas é o BloodAlchemy, que possui relação técnica com a linhagem Deed RAT e ShadowPad.

ShadowPad e PlugX são ferramentas historicamente utilizadas por diferentes grupos de ameaça associados à China.

A segunda é o SpiceRAT, anteriormente documentado pela Cisco Talos em operações relacionadas ao grupo SneakyChef.

Essas relações fazem parte das evidências utilizadas pela Bitdefender para avaliar que o SilkParasite possui um possível China-nexus.

A atribuição não é definitiva

Esse ponto precisa ser tratado com cautela.

A Bitdefender não atribuiu o SilkParasite diretamente a um grupo chinês específico.

A avaliação de vínculo com o ecossistema chinês possui confiança média e é baseada em fatores como:

ferramentas utilizadas;
infraestrutura;
perfil das vítimas;
técnicas observadas;
relações com famílias de malware anteriormente ligadas a atores chineses.

Os pesquisadores afirmam que compartilhamento de ferramentas e infraestrutura não é suficiente para concluir que todas as operações pertencem ao mesmo grupo.

IA pode ter sido utilizada durante o desenvolvimento

Outro aspecto relevante da pesquisa envolve possíveis sinais de utilização de inteligência artificial.

A Bitdefender enfatiza que não considera o arsenal do SilkParasite um malware simplesmente gerado por IA.

A avaliação é diferente: desenvolvedores humanos experientes provavelmente utilizaram ferramentas de IA como assistência durante partes do processo.

Quais sinais foram encontrados?

No GoginRAT, os pesquisadores encontraram funções de teste do Go que permaneceram dentro da versão distribuída.

Também foi encontrada uma chave AES definida como:

0123456789abcdef

No NodeEdgeRAT, uma configuração relacionada à criptografia continha o valor:

change_this_key

Esses elementos parecem valores temporários ou placeholders que normalmente seriam substituídos durante uma revisão final.

A semelhança arquitetural entre ferramentas desenvolvidas em linguagens diferentes também é considerada compatível com um processo auxiliado por IA.

Nenhum desses elementos, isoladamente, comprova a utilização de inteligência artificial. Por isso, a Bitdefender mantém a avaliação com confiança média.

Phishing também apresentou sinais de conteúdo gerado por IA

A evidência considerada mais clara pelos pesquisadores apareceu nos próprios documentos utilizados como isca.

A Bitdefender encontrou documentos aparentemente gerados por IA, incluindo uma falsa plataforma regional de cooperação energética e uma falsa publicidade relacionada a capacidade de computação em GPU.

Os pesquisadores levantam duas possibilidades:

os operadores simplesmente economizaram esforço na criação das iscas;
o conteúdo propositalmente pouco refinado poderia servir para se misturar ao grande volume de material gerado por IA que circula atualmente.

A segunda hipótese é apresentada pela Bitdefender como possibilidade analítica, e não como intenção comprovada dos atacantes.

Como detectar esse tipo de ataque?

Segundo a Bitdefender, o ponto mais consistente para detecção em toda a campanha é o DLL sideloading.

Porém, procurar apenas pelo nome de uma DLL específica pode ser insuficiente, porque os operadores modificam arquivos, chaves de criptografia e componentes entre diferentes versões.

O comportamento importa mais que o nome do arquivo

Um sinal mais confiável é observar situações em que:

um executável legítimo e assinado é iniciado a partir de um diretório incomum e carrega uma DLL localizada ao seu lado.

Por exemplo, um programa normalmente instalado em Program Files sendo executado a partir de:

diretórios temporários;
pastas de download;
diretórios de staging;
caminhos criados recentemente.

Esse comportamento merece investigação mesmo que os hashes e nomes dos arquivos não estejam presentes em listas conhecidas de indicadores.

O que empresas devem observar?

Equipes de segurança podem procurar principalmente por:

aplicações assinadas sendo executadas em locais incomuns;
DLLs desconhecidas criadas ao lado de executáveis legítimos;
tráfego automatizado para Google Drive sem ação correspondente do usuário;
documentos Office contendo macros inesperadas;
arquivos RAR protegidos por senha recebidos por e-mail;
tarefas agendadas com nomes semelhantes a atualizações legítimas;
processos carregando módulos desconhecidos diretamente na memória.

No caso específico do NodeEdgeRAT, a tarefa:

SysEdgeUpdateTaskMachineCore

é citada diretamente pela pesquisa como mecanismo de persistência.

Análise Técnica CyberX

O principal diferencial é a modularidade

O SilkParasite não chama atenção simplesmente pela quantidade de malware utilizada.

O aspecto mais relevante é a arquitetura.

Grande parte das ferramentas foi desenvolvida para carregar funcionalidades apenas quando o operador precisa delas.

Isso permite manter o componente inicial pequeno e reduzir a quantidade de código exposto para ferramentas de segurança.

Do ponto de vista defensivo, isso significa que capturar apenas um executável pode não revelar todas as capacidades disponíveis ao atacante.

Serviços legítimos dificultam bloqueios tradicionais

O DriveSilkRAT demonstra um problema importante para empresas.

Bloquear um domínio C2 claramente malicioso é relativamente simples.

Bloquear completamente o Google Drive pode ser inviável para organizações que utilizam o serviço no dia a dia.

Isso muda o foco da defesa.

Em vez de perguntar apenas:

“Para qual domínio esse computador está se conectando?”

o SOC também precisa perguntar:

“Por que esse processo está acessando esse serviço?”

Um aplicativo desconhecido acessando Google Drive automaticamente possui um contexto completamente diferente de um navegador utilizado pelo funcionário.

DLL sideloading continua extremamente relevante

O fato de várias famílias diferentes utilizarem DLL sideloading mostra por que essa técnica continua sendo popular em operações avançadas.

O atacante consegue combinar:

executável legítimo;
assinatura digital válida;
biblioteca maliciosa;
execução em caminho não convencional.

Uma solução baseada apenas na reputação do executável pode considerar o processo confiável porque o arquivo principal realmente pertence a uma empresa legítima.

A detecção precisa avaliar a relação entre executável, diretório e DLL carregada.

IA não tornou o malware automaticamente mais sofisticado

A pesquisa também ajuda a evitar uma interpretação exagerada sobre inteligência artificial.

A Bitdefender não encontrou evidências de que uma IA tenha criado sozinha todo o arsenal.

O que os pesquisadores observaram é mais compatível com profissionais utilizando IA para acelerar determinadas etapas de desenvolvimento.

Esse cenário provavelmente é mais relevante para o futuro da cibersegurança do que a ideia de malware totalmente autônomo criado por IA.

Um operador experiente pode utilizar ferramentas de IA para:

portar código entre linguagens;
produzir componentes repetitivos;
criar testes;
acelerar documentação;
gerar iscas de phishing.

O resultado continua sendo uma operação conduzida por humanos, mas potencialmente com maior velocidade de desenvolvimento.

O que um SOC deveria priorizar

Para uma campanha desse tipo, a CyberX recomenda priorizar telemetria comportamental.

Alguns casos de uso particularmente úteis são:

executáveis assinados iniciados fora dos diretórios esperados;
carregamento de DLLs recém-criadas;
processos sem interação humana acessando serviços cloud;
macros iniciando cadeias de execução;
tarefas agendadas criadas logo após execução de documentos;
aplicações legítimas realizando comunicação incompatível com sua função normal.

A detecção baseada apenas em IOC tende a perder eficiência porque os operadores modificam nomes, infraestrutura e componentes ao longo da campanha.

Recomendação CyberX

Organizações públicas, empresas estratégicas e ambientes com alto risco de espionagem devem combinar:

EDR;
análise comportamental;
bloqueio ou controle de macros;
inspeção de arquivos compactados;
proteção de e-mail contra spear-phishing;
application control;
monitoramento de DLL sideloading;
telemetria de acesso a serviços cloud.

Também é recomendável criar baselines para identificar quais processos normalmente utilizam plataformas como Google Drive, OneDrive, Dropbox e outros serviços legítimos.

Conclusão

O SilkParasite representa uma operação de ciberespionagem cuidadosamente estruturada, com ferramentas modulares e diferentes técnicas destinadas a reduzir a exposição da atividade maliciosa.

A Bitdefender encontrou sete famílias de RATs na campanha, cinco delas anteriormente desconhecidas, e avalia com confiança média que a operação possui vínculos com o ecossistema de ameaças associado à China.

Ao mesmo tempo, a pesquisa mostra uma evolução importante: atacantes profissionais aparentemente começam a incorporar inteligência artificial como ferramenta auxiliar de desenvolvimento, e não necessariamente como substituta dos operadores humanos.

Para equipes de segurança, a principal lição é que ataques desse nível dificilmente serão detectados apenas procurando arquivos ou domínios conhecidos.

É necessário identificar comportamentos anormais: um programa legítimo executado no lugar errado, uma DLL carregada de forma inesperada ou um processo acessando um serviço cloud sem motivo aparente podem ser sinais mais importantes do que o nome do malware.

Fontes e referências

Esta notícia foi elaborada a partir da matéria publicada pelo The Hacker News em 19 de agosto de 2026 e validada com a investigação técnica original publicada pela Bitdefender Labs na mesma data.

CyberX I.T Solutions — Cybersecurity Intelligence

AVALIE ESTE CONTEÚDO

Esta análise foi útil?

Ainda não há avaliações.