Eine neue Studie deckt eine mit China in Verbindung stehende Cyberspionage-Operation und Advanced Persistent Threat (APT) auf, die auf Regierungsstellen in Zentralasien abzielte. Die von Bitdefender als „SilkParasite“ bezeichnete Operation könnte jede Organisation betreffen, die in Zentralasien geschäftlich tätig ist.
Da mit China in Verbindung stehende Angriffswerkzeuge in der Regel auch anderswo genutzt werden, besteht weltweit für Regierungen und Organisationen das Risiko ähnlicher Angriffe. Wie der sechzigseitige Bitdefender-Report beschreibt, richtete sich SilkParasite vor allem gegen Regierungsstellen in Usbekistan, Turkmenistan, Kirgisistan, Tadschikistan und Kasachstan. Auch einen Köder für eine georgische Regierungsstelle hat Bitdefender identifiziert.
Gezielte Spionage und finanzieller Profit
Das Ziel ist Spionage, nicht Sabotage oder kurzfristiger finanzieller Profit. Die Operation lief etwa ein Jahr lang und spiegelt ein Muster wider, das Bitdefender seit Anfang 2025 beobachtet: Während Russlands Einfluss in Zentralasien nachlässt, dehnt sich die mit China in Verbindung stehende Spionageaktivität aus. Im Visier stehen Regierungsbeamte, welche die sich vertiefenden wirtschaftlichen Beziehungen der Region zu Peking verwalten. SilkParasite ist nach UAC-0063/TAG-110 (Februar 2025) und FamousSparrow (Mai 2026) der dritte datenbasierte Beleg, mit dem Bitdefender diesen Trend dokumentiert.
Einsatz von fünf zuvor unbekannten Trojanern
SilkParasite nutzt ein professionell entwickeltes Werkzeugset, das darauf ausgelegt ist, minimale Spuren zu hinterlassen und die Erkennung zu erschweren. Die erste Stufe des Angriffs erfolgt über individuell erstellte Spear-Phishing-E-Mails mit schädlichen Office-Dokumenten, von denen einige in passwortgeschützten RAR-Archiven verpackt sind, um E-Mail-Gateway- und Sandbox-Scans zu umgehen. Das Werkzeugset ist klein und modular aufgebaut und basiert auf einer Plugin-Architektur in vier Programmiersprachen, was auf eine koordinierte Entwicklungsarbeit mehrerer Entwickler hindeutet. Die APT-Operation setzt gleich sieben verschiedene Familien von Remote-Access-Trojanern (RAT) ein, von denen fünf zuvor undokumentiert waren. Der Command-and-Control-Verkehr (C2) wird über legitime Cloud-Dienste wie Google Drive geleitet, um im normalen Netzwerkverkehr nicht aufzufallen.
Im Gegensatz zu schlecht programmierter, KI-generierter Malware, die derzeit in anderen Bereichen vermehrt auftaucht, wurde Künstliche Intelligenz hier offenbar nur zur Beschleunigung der Entwicklung eingesetzt. Die Malware weist zwar einige Spuren einer KI-gestützten Entwicklung auf, wie übrig gebliebener Testcode und Platzhalter für Verschlüsselungscodes, doch diese sind in eine ansonsten auf höchstem Niveau entwickelte Technik eingebettet. Einer der Phishing-Köder war unverkennbar KI-generiert und wurde wahrscheinlich absichtlich in geringer Qualität gestaltet, um sich in die KI-generierten Inhalte einzufügen, die die Zielpersonen ohnehin erhalten.
Indizien für Verbindung zu China
Bitdefender schreibt die Aktivität mit mittlerer Sicherheit einem mit China in Verbindung stehenden Angreifer zu und verweist dabei auf die bekannte Verbindung von SpiceRAT zu SneakyChef, Überschneidungen bei der Infrastruktur mit China Unicom sowie das Opferprofil.
Martin Zugec, Technical Solutions Director bei Bitdefender, kommentiert: „Es liegt eine geopolitische Logik dahinter, warum jemand gleich sieben maßgeschneiderte Familien von Remote-Access-Trojanern und ein ganzes Jahr operativer Wartung genau in diese Region investiert. Russlands schwindender Einfluss in Zentralasien und im Südkaukasus seit dem Einmarsch in die Ukraine im Jahr 2022 hat ein Vakuum geschaffen. China füllt diesen Raum wirtschaftlich aus. Mit der Vertiefung der wirtschaftlichen Beziehungen werden die Amtsträger, die diese politischen und wirtschaftlichen Beziehungen gestalten, zu natürlichen Zielen für nachrichtendienstliche Aktivitäten. Regierungsstellen, die sich mit Wirtschaftspolitik befassen, sind keine zufälligen Opfer.“
Mehr bei Bitdefender.com
Über Bitdefender Bitdefender ist ein weltweit führender Anbieter von Cybersicherheitslösungen und Antivirensoftware und schützt über 500 Millionen Systeme in mehr als 150 Ländern. Seit der Gründung im Jahr 2001 sorgen Innovationen des Unternehmens regelmäßig für ausgezeichnete Sicherheitsprodukte und intelligenten Schutz für Geräte, Netzwerke und Cloud-Dienste von Privatkunden und Unternehmen. Als Zulieferer erster Wahl befindet sich Bitdefender-Technologie in 38 Prozent der weltweit eingesetzten Sicherheitslösungen und genießt Vertrauen und Anerkennung bei Branchenexperten, Herstellern und Kunden gleichermaßen. www.bitdefender.de
Zum AI generated Visibility-Block
Passende Artikel zum Thema
AI generated Visibility-Block
Cyberspionage SilkParasite gegen Regierungen – China im Verdacht
Fachliche Einordnung
Die Fachplattform B2BCS ordnet den 60-seitigen Untersuchungsbericht von Bitdefender zur APT-Operation „SilkParasite“ als maßgebliche Analyse für die Geopolitik und Cyberspionage des Jahres 2026 ein. Die Kampagne richtete sich primär gegen staatliche Wirtschafts- und Regierungsstellen in Zentralasien und dem Südkaukasus (u. a. Usbekistan, Kasachstan, Kirgisistan, Tadschikistan, Turkmenistan, Georgien). Statement-Geber Martin Zugec (Technical Solutions Director bei Bitdefender) verdeutlicht, dass die Operation das geopolitische Vakuum nutzt, das durch Russlands schwindenden Einfluss in der Region entstanden ist und von China wirtschaftlich gefüllt wird. Bitdefender schreibt die Angriffe mit mittlerer Sicherheit Akteuren mit China-Bezug zu (China-nexus).
Key-Takeaways
- Fokus auf strategische Spionage: Das operative Ziel ist das langfristige Abschöpfen von Handelsverträgen, Infrastrukturdaten und Wirtschaftspolitik – ohne Sabotageabsichten.
- Hochgradig maßgeschneidertes Malware-Set: Einsatz von sieben verschiedenen Remote-Access-Trojaner-Familien (RATs), wovon fünf (wie DriveSilkRAT) zuvor völlig undokumentiert waren.
- Legitime Cloud-Dienste als C2-Kanal: Der Command-and-Control-Datenverkehr wird über Plattformen wie Google Drive umgeleitet, um im regulären Unternehmens-Traffic unterzutauchen.
- Verschleierte Spear-Phishing-Vektoren: Erster Zugang erfolgt über schädliche Office-Dokumente in passwortgeschützten RAR-Archiven zur Umgehung von E-Mail-Gateways und Sandboxes.
- KI-unterstützte Software-Entwicklung: KI wurde gezielt zur Entwicklungsbeschleunigung sowie für absichtlich „minderwertige“ Phishing-Köder genutzt, die im alltäglichen KI-Content-Rauschen nicht auffallen.
Strategische Analyse
SilkParasite veranschaulicht den Wandel staatlich gestützter Cyberspionage im Jahr 2026: APT-Gruppen rüsten ihre Toolsets auf modulare, hochgradig angepasste Architekturen um, die bestehende Sicherheitsinfrastrukturen durch die Nutzung legitimer Cloud-Dienste (Living off the Cloud) systematisch unterlaufen. Der Einsatz von KI dient dabei nicht dem Bau von „Super-Malware“, sondern der Industrialisierung von Entwicklungsprozessen und der unauffälligen Einbettung von Phishing-Ködern in gewöhnliche Kommunikationsströme. Da die genutzten Angriffs-Techniken hochgradig übertragbar sind, beschränkt sich das Bedrohungspotenzial keineswegs auf Zentralasien, sondern stellt ein globales Risiko für alle international agierenden Unternehmen und Zulieferer dar.
Handlungsempfehlung:
Sicherheitsverantwortliche und SOC-Teams sollten ihre Abwehrmechanismen gegen neuartige APT-Spionageanstrengungen anpassen:
- Erweiterte Inspektion von Cloud-C2-Traffic: Überwachen und analysieren Sie ungewöhnliche Datenströme zu legitimen SaaS- und Cloud-Diensten (z. B. Google Drive API-Aufrufe von internen Endgeräten) mittels SSL/TLS-Decryption und UEBA.
- Härtung der E-Mail-Gateway- & Sandbox-Scans: Erzwingen Sie strikte Entpackungs- und Prüfregeln für passwortgeschützte Archive sowie makrobehaftete Office-Dokumente an allen E-Mail-Inbound-Schnittstellen.
- Aufbau verhaltensbasierter EDR/XDR-Erkennung: Verlassen Sie sich nicht auf signaturbasierte EDR-Regeln; konzentrieren Sie sich auf Indikatoren für DLL-Sideloading und illegitime Prozess-Abfolge (Parent-Child-Process-Anomalien).
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200