中央アジアの政府機関を狙う新サイバースパイ「SilkParasite」が判明、新種を含む7種の遠隔操作マルウェアとAI活用の痕跡
要点
- セキュリティ企業Bitdefender Labsが、中央アジア各国の政府機関を標的とする新たなサイバーサイバー攻撃キャンペーン「SilkParasite」を特定した。
- 攻撃には計7種類の遠隔操作マルウェア（RAT）が投入されており、そのうち5種類はこれまで報告のない新種であることが判明した。
- 熟練の開発者によるコード作成プロセスを効率化するために、AI（人工知能）が補助的に活用された痕跡が確認されている。
- パスワード付き圧縮ファイルを用いた標的型メールを起点とし、地域特化のおとり文書やセキュリティソフトの検知回避策が講じられている。
- 使用されているマルウェアの系統から、中程度の確信度で中国関連の脅威グループによる活動と評価されている。
中央アジアの政府機関を標的とした未報告のサイバースパイ活動「SilkParasite（シルクパラサイト）」が進行していることが、ルーマニアのセキュリティ企業Bitdefender Labsの調査で明らかになった。2025年後半に初めて観測されたこの攻撃活動は、高度なツール群と地域に特化した巧妙な手口を特徴としており、中程度の確信度で中国と関連を持つ脅威グループによるものと評価されている。海外のセキュリティメディア「The Hacker News」が2026年8月19日付で報じた。
新種5種を含む7系統のRATとAI活用の特徴
SilkParasiteの作戦では、感染端末を遠隔操作するためのRAT（リモートアクセスツール）が計7種類確認されている。そのうち「DriveSilkRAT」「CookiETagRAT」「NomadRAT」「GoginRAT」「NodeEdgeRAT」の5種類は、これまで脅威情報として記録されていない完全な新種だという。
Bitdefender Labsの報告によると、このツール群は全体として高い技術力を持つ人間によって開発されたプロ仕様のコードでありながら、随所にAI支援開発の痕跡が見られる点が極めて特徴的だとされている。完全にAIのみで生成された粗雑なマルウェアとは異なり、人間の熟練開発者が作業プロセスを効率化する目的でAIを取り入れたとみられている。なお、攻撃に使われたフィッシングのおとり文書にはAI生成と断定できる痕跡が含まれており、攻撃者の意図的な撹乱工作である可能性も指摘されている。
地域特化の偽装文書と検知回避の手口
攻撃の初期侵入は、パスワード保護されたRAR形式の圧縮ファイルを添付したスピアフィッシング（特定の組織を標的とした電子メール攻撃）から始まる。圧縮ファイルを展開するためのパスワードはメール本文に記載されており、内部には不正なマクロ（操作を自動化するスクリプト機能）を含むMicrosoft Office文書が格納されている。
標的となった組織に合わせて偽装文書の内容は精巧に作り分けられており、ウズベキスタン、トルクメニスタン、キルギス、タジキスタン、カザフスタンの政府機関や特定省庁を装った文書が確認された。また、マルウェア解析プラットフォームからはジョージアの政府機関を宛先とした文書も見つかっている。
さらに、Office文書内のマクロは実行前に端末上でKaspersky製のセキュリティ対策ソフトが稼働しているかを事前確認する仕組みを備えていた。同地域で普及率が高いセキュリティ製品の検知を回避するための念入りな対策とみられる。
多言語によるモジュール構造とDLLサイドローディング
SilkParasiteが展開するマルウェア群は、.NET、C++、Go、JavaScriptの4種類のプログラミング言語にまたがって開発されている。ほぼすべてのツールがプラグイン指向のモジュール型アーキテクチャを採用しており、攻撃者は基盤となるプログラムを作り直すことなく機能を追加・拡張できる。被害環境に合わせて必要なペイロード（攻撃処理本体）を選択的に配信することで、システム上の痕跡を最小限に抑える構造となっている。
攻撃の各段階における不正コードの実行には「DLLサイドローディング」が悪用されている。これは正規の実行ファイルが外部プログラム（DLL）を読み込む仕組みを利用し、悪意あるDLLを実行させる手法である。攻撃者は侵害先にある既存のプログラムを使うのではなく、正規の署名が施された実行ファイル自らをシステム内に持ち込み、同名の不正DLLを読み込ませる手法を採用している。
中国系脅威グループとの関連性
中央アジア地域では近年「UAC-0063」や「FamousSparrow」といった著名な脅威アクターによる攻撃が相次いでおり、SilkParasiteはこれらに続く第3の主要な脅威として位置づけられている。
中国との関連性を示す技術的根拠として、過去の中国系マルウェアとの系譜の近さが挙げられている。攻撃ではバックドア「BLOODALCHEMY」が使用されていたが、これは「Deed RAT」の更新版であり、Deed RAT自体は中国系ハッカーが多用する「ShadowPad」（PlugXから派生したマルウェア）の後継にあたる。さらに、中国語話者の脅威グループ「SneakyChef」に帰属するマルウェア「SpiceRAT」の更新版も確認されており、攻撃インフラやツールの両面で中国関連アクターとの強い結びつきが浮き彫りとなっている。