La operación de espionaje ‘SilkParasite’ utiliza malware asistido por IA contra Asia Central

Investigadores de Bitdefender han identificado una campaña de espionaje contra organismos gubernamentales de Asia Central que utiliza siete familias de malware, cinco de ellas no documentadas anteriormente. La operación, denominada “SilkParasite”, habría sido desarrollada por actores con capacidades de nivel militar basados en China y habría incorporado inteligencia artificial en distintas fases de la creación del malware.

La investigación comenzó tras detectar una infección sospechosa en una institución gubernamental relacionada con la economía de un país centroasiático cuyo nombre no ha sido divulgado. Después de varios meses de análisis forense y búsqueda de amenazas, Bitdefender determinó que la operación llevaba activa cerca de un año y que había afectado a organismos de distintos países de la región.

Entre los objetivos potenciales figuraban entidades gubernamentales de Uzbekistan, Turkmenistan, Kyrgyzstan, Tajikistan, Georgia y Kazakhstan. Los atacantes prepararon documentos maliciosos con contenidos aparentemente relevantes para administraciones públicas y, en varios casos, utilizaron señuelos que imitaban a ministerios. El uso de temas vinculados con la actividad gubernamental y económica habría servido para aumentar la credibilidad de los correos dirigidos a los destinatarios.

El acceso inicial se obtuvo principalmente mediante documentos maliciosos de Microsoft Office enviados en correos electrónicos de spearphishing. Los archivos de señuelo se introducían en archivos comprimidos, una técnica destinada a dificultar su detección por parte de las pasarelas de correo. Bitdefender registró 65 infecciones, la mayoría en la región de Asia, relacionadas con DriveSilkRAT, la más extendida de las siete familias identificadas.

DriveSilkRAT presenta una característica que lo diferencia de buena parte del malware convencional: no se comunica con un servidor de mando y control dedicado. En su lugar, utiliza una carpeta compartida de Google Drive. Según Bitdefender, esta elección permite que el tráfico malicioso se confunda con actividad legítima de Google Drive, un servicio que en muchos entornos corporativos recibe un nivel de supervisión menor que otras comunicaciones externas.

La atribución a China se basa en varios indicios. Bitdefender encontró vínculos entre al menos una de las familias de malware de SilkParasite y otro grupo de espionaje basado en China. Además, varias direcciones IP empleadas durante la campaña estaban relacionadas con empresas de telecomunicaciones chinas. La compañía también señaló que, durante el último año, había seguido otras dos campañas con nexos con China dirigidas contra Europa y Asia del Sur, incluida una serie reciente de incidentes contra el Cáucaso Sur.

El uso de inteligencia artificial constituye uno de los elementos destacados de la operación. Bitdefender determinó que dos de los señuelos enviados por correo electrónico habían sido generados mediante IA y observó otros indicios de que esta tecnología se utilizó durante el desarrollo de las familias de malware. Entre esas señales figuraban marcadores provisionales que quedaron en el código y que apuntaban a la intervención de herramientas automatizadas en el proceso de programación.

La empresa describió SilkParasite como una operación de espionaje profesional optimizada para limitar su volumen y reducir su huella. Entre sus características citó la ejecución dinámica en memoria y un código diseñado deliberadamente para no parecerse a familias de malware anteriores. Bitdefender subrayó que las capacidades de este nivel siguen requiriendo profesionales humanos, aunque estos pueden apoyarse en IA para acelerar determinadas tareas sin delegar por completo la ingeniería de la operación.

Según la evaluación de Bitdefender, los actores avanzados están incorporando la IA de forma gradual y selectiva, integrándola en los procesos donde aporta velocidad y evitando su uso en componentes donde los errores o patrones generados por máquinas podrían revelar la operación. La compañía considera que los indicios observados en SilkParasite muestran cómo la asistencia de IA empieza a integrarse en flujos de trabajo de grupos respaldados por Estados.

La campaña se enmarca en un contexto de mayor atención al uso de IA por parte de actores de amenazas. La National Security Agency emitió recientemente una advertencia urgente sobre actores no identificados que empleaban scripts de explotación generados con IA contra tecnología industrial crítica. Una semana antes, otra empresa había afirmado haber observado un ciberataque automatizado contra el Gobierno de Taiwan. Fuente: The Record, https://therecord.media/china-cyber-espionage-central-asia.