中央アジア政府機関狙う「SilkParasite」、7種のRATをサイバー攻撃に使用 Bitdefenderは中国系ハッカーグループとの関連を中程度の確度で評価|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月26日更新日時: 2026年08月26日

Bitdefender Labsは2026年8月19日、中央アジアの政府機関などを標的とするサイバー諜報キャンペーン「SilkParasite」の調査結果を公表しました。2025年10月ごろに中央アジアの経済政策に関わる政府機関で不審な感染を確認したことを起点に、約1年にわたって活動していたとみられる攻撃基盤と、7種類のリモートアクセス型マルウェア（RAT）を確認しています。

7種類のうち5種類はこれまで文書化されていなかったマルウェアで、DriveSilkRATはGoogle DriveをC2通信に利用していました。Bitdefenderは攻撃活動を中国系と中程度の確度で評価していますが、特定の既知APTグループには帰属していません。また、マルウェア開発の一部でAIが利用された可能性についても中程度の確度としており、「AIが攻撃全体やマルウェアを自動生成した」と確認された事案ではありません。

SilkParasiteのサマリー

確認済み：Bitdefenderは2025年10月ごろ、中央アジアの経済政策に関わる政府機関でSpiceRATとDriveSilkRATの感染を確認しました。
確認済み：その後のフォレンジック調査と脅威ハンティングで、計7種類のRATを確認しました。
確認済み：DriveSilkRAT、CookiETagRAT、NomadRAT、GoginRAT、NodeEdgeRATの5種類は、Bitdefenderが新たに特定・命名したマルウェアです。
確認済み：初期侵入では悪意あるMicrosoft Office文書が利用され、スピアフィッシングメールで配布された可能性が高いと分析されています。
確認済み：一部の誘導文書はパスワード付きRARに格納され、メールゲートウェイや自動解析を回避する目的があったとBitdefenderはみています。
確認済み：誘導文書はウズベキスタン、トルクメニスタン、キルギス、タジキスタン、カザフスタンの政府機関などに合わせて作成され、ジョージア政府機関向けとみられる文書も確認されています。
確認済み：DriveSilkRATは専用C2サーバーではなく、共有Google Driveフォルダを命令受信や結果送信に利用します。
確認済み：BitdefenderはDriveSilkRATで約65の「感染インスタンス」を観測しました。ただし同社は、重複を含む可能性があるため、感染端末65台を意味しないと明記しています。
確認済み：2種類のフィッシング誘導コンテンツはAI生成だったとBitdefenderは判断しています。
分析評価：GoginRATやNodeEdgeRATなどに残されたテストコードやプレースホルダーなどから、マルウェア開発でもAIが補助的に利用された可能性を中程度の確度で評価しています。
分析評価：BitdefenderはSilkParasiteを中国系の活動クラスターと中程度の確度で評価していますが、特定の既知グループへの帰属は行っていません。
未確認：攻撃者が中国政府や中国軍の指揮下で活動していることは、Bitdefenderの公開資料では確認されていません。
未確認：情報窃取された具体的なデータ、被害組織数、侵害端末数の確定値は公表されていません。

項目	内容
公表日	2026年8月19日
調査元	Bitdefender Labs
キャンペーン名	SilkParasite
活動目的	サイバー諜報と評価
主な標的	中央アジアの政府機関、経済政策に関係する組織
初期確認	2025年10月ごろ
初期侵入	悪意あるMicrosoft Office文書。スピアフィッシングメールで配布された可能性が高い
主な実行手法	マクロ、DLLサイドローディング
確認されたRAT	7種類
新規確認されたRAT	DriveSilkRAT、CookiETagRAT、NomadRAT、GoginRAT、NodeEdgeRAT
DriveSilkRATのC2	Google Drive
観測規模	約65の感染インスタンス。実端末数の確定値ではない
AI利用	誘導コンテンツ2件はAI生成。マルウェア開発へのAI支援は中程度の確度
帰属	中国系との関連を中程度の確度で評価。特定グループへの帰属は未確定
IoC	BitdefenderがGitHubで公開

2025年10月、中央アジアの政府機関で感染を確認

Bitdefenderによると、調査の起点は2025年10月ごろに中央アジアの政府機関で確認した1件の不審な感染でした。対象は経済的な意思決定に関係する政府機関で、当初の侵害ではSpiceRATとDriveSilkRATが確認されています。

その後、数カ月にわたるフォレンジック調査と脅威ハンティングを実施した結果、7種類のRAT、継続的に管理されているビルド・パッケージング基盤、長期間運用されていた攻撃活動が判明しました。

Bitdefenderは、この活動クラスターを「SilkParasite」と命名しています。

政府機関に合わせたOffice文書をスピアフィッシングで配布

初期侵入には、悪意あるMicrosoft Office文書が利用されていました。Bitdefenderは、これらの文書がスピアフィッシングメールで送られた可能性が高いとしています。

一部の文書はパスワード付きRARアーカイブに格納され、解凍パスワードをメール本文に記載する方法が使われていました。メールゲートウェイやサンドボックスによる自動解析を避けるための手法とみられます。

利用者が文書を開くとマクロが動作し、正規の署名付きアプリケーションと悪意あるDLLを組み合わせるDLLサイドローディングの実行チェーンにつながります。

確認された誘導文書は、ウズベキスタン、トルクメニスタン、キルギス、タジキスタン、カザフスタンの政府関連業務に合わせて作成されており、特定省庁を装ったものもありました。公開マルウェア共有サービスからは、ジョージア政府機関宛てとみられる文書も確認されています。

7種類のRATを使い分け、5種類は新たに確認

SilkParasiteでは7種類のRATが確認されています。このうち5種類は、Bitdefenderが今回初めて文書化したマルウェアです。

マルウェア	主な実装	状況	C2・通信の特徴
DriveSilkRAT	.NET、C++	新規確認	Google Drive
SpiceRAT	C/C++	既知	HTTP
CookiETagRAT	C++	新規確認	HTTP Cookie／ETagヘッダー
BloodAlchemy	C/C++	既知	TCP、HTTP/S、DNS、SMB
NomadRAT	C++	新規確認	HTTPS
GoginRAT	Go	新規確認	HTTP
NodeEdgeRAT	JavaScript／Node.js	新規確認	HTTPS

多くのマルウェアは、必要な機能を後からプラグインとして読み込むモジュール構造を採用しています。初期段階で端末上に配置する機能を抑え、必要な機能だけを追加することで、感染端末上に残る痕跡を減らす構成です。

Bitdefenderは、7種類が.NET、C++、Go、JavaScriptという複数言語で開発され、ビルドごとに暗号鍵やC2、永続化に使う名称なども変更されている点から、継続的な開発・運用体制を持つ攻撃者と評価しています。

DriveSilkRATはGoogle DriveをC2通信に利用

7種類の中でも中心的な役割を担っていたのがDriveSilkRATです。

一般的なマルウェアが攻撃者管理の専用C2サーバーへ通信するのに対し、DriveSilkRATは共有Google Driveフォルダを利用します。感染端末はフォルダを定期的に確認し、攻撃者が配置した命令ファイルやプラグインを取得します。処理結果も同じGoogle Drive経由で返す構造です。

企業ネットワークではGoogle Driveの通信が正規クラウドサービスとして許可されている場合があります。このため、IPアドレスやドメインのレピュテーションだけを使った監視では、攻撃通信と通常業務の通信を切り分けにくくなります。

Bitdefenderは、このように正規のクラウドやインターネットサービスをC2へ利用する手法を「Living off Trusted Services（LOTS）」として説明しています。

約65の「感染インスタンス」を観測、感染端末65台とは限らず

Bitdefenderは、DriveSilkRATが利用していた共有フォルダ上の識別子から、調査時点で約65の感染インスタンスを観測しました。多くはアジア地域でした。

ただし、この数字を「65台が感染した」と読み替えることはできません。

DriveSilkRATはハードウェア情報から被害端末の識別子を生成しますが、同一の物理端末から複数の識別子が作られる場合があります。Bitdefender自身も、約65という数字は上限値であり、確認済みの実端末数ではないとしています。

また、公開資料からは、65のインスタンスが何組織にまたがっていたのか、すべての環境で同じ情報が窃取されたのかといった詳細も確認できません。

このため「65組織が被害」「65台から情報流出」と断定することはできません。

AI生成の誘導文書を確認、マルウェア開発への利用は「中程度の確度」

SilkParasiteではAI利用の痕跡も報告されていますが、用途ごとに確認レベルを分ける必要があります。

Bitdefenderは、回収した誘導コンテンツのうち、中央アジアのエネルギー協力を装った内容と、GPUクラウドコンピューティングを宣伝する内容の2件についてAI生成と判断しています。

一方、マルウェア開発へのAI利用は分析に基づく評価です。

GoginRATではリリース時には通常削除されるテスト関数が残り、単純な文字列のAES鍵がハードコードされていました。NodeEdgeRATでも、設定値に変更前のプレースホルダーとみられる文字列が残っていました。

さらにNomadRATとGoginRATは異なる言語で実装されているものの、全体構造に強い類似性があるとしています。Bitdefenderは、同じ高レベル設計を複数言語へ展開する際にAI支援を利用した可能性があると分析しています。

ただし同社の評価は「medium confidence」です。マルウェアが全面的にAI生成されたことを確認したものではありません。Bitdefender自身も、SilkParasiteを人間の専門家が設計・開発し、その一部でAIを補助的に使用した可能性がある事例として位置付けています。

中国系との関連を中程度の確度で評価、特定APTへの帰属はせず

BitdefenderはSilkParasiteについて、「China-nexus」、つまり中国系の攻撃活動との関連を中程度の確度で評価しています。

根拠の一つがSpiceRATです。Cisco Talosは2024年、SpiceRATを政府機関などへの諜報活動を行うSneakyChefが使用していたことを報告しています。Talosは別の調査で、SneakyChefについて中国語話者との関連を示す情報を確認しています。

SilkParasiteのインフラ調査では、中国Unicomのバックボーンネットワークに関連する複数のIPアドレスも確認されました。また、Google Driveに残された攻撃者の命令時刻から推定した活動時間帯はUTC+8と整合していました。

さらに、SilkParasiteで確認されたBloodAlchemyはShadowPadやDeed RATと同じ系譜に位置付けられています。Bitdefenderが2026年5月に調査したFamousSparrowによるアゼルバイジャンの石油・ガス企業への攻撃でもDeed RATが使用されていました。

ただし、これらの情報だけで特定の攻撃主体を断定することはできません。

Bitdefenderは、マルウェアや攻撃手法が中国系の複数アクター間で共有されることがあり、IPアドレスに基づくインフラ分析も状況証拠であるとしています。このため、SilkParasiteをSneakyChefやFamousSparrowなど単一の既知グループへ帰属するには証拠が不足していると明記しています。

本件は「中国政府による攻撃が確認された」「中国軍のハッカーが実行した」と断定できる一次情報ではありません。

情報システム部門への示唆

SilkParasiteは中央アジアの政府機関を主な標的とする諜報キャンペーンですが、企業の防御側にとっては、正規サービスや正規アプリケーションを攻撃経路へ組み込む手法が参考になります。

まず確認したいのが、Google Driveなど正規クラウドサービスへの通信です。単純にGoogle Driveへのアクセスを許可または禁止するだけでなく、通常利用しないプロセスからクラウドストレージへ継続的に通信していないか、端末上の実行イベントや認証情報と組み合わせて確認する必要があります。

DLLサイドローディングについても、署名済みの正規プロセスだから安全とは判断できません。実行ファイルの配置場所、同一ディレクトリに作成されたDLL、子プロセスやネットワーク通信、永続化設定などを組み合わせて監視する必要があります。

メール経由では、パスワード付きアーカイブの扱いも確認ポイントです。暗号化アーカイブを一律禁止できない環境では、送信者、業務上の必要性、解凍後にOfficeマクロや実行ファイルが含まれていないかを多層的に確認する仕組みが必要です。

また、AI生成コンテンツの品質をフィッシング判定の材料にしないことも重要です。AIによって自然な文面を容易に生成できる一方、今回Bitdefenderが確認した誘導コンテンツは低品質でした。文章の自然さや見た目だけではなく、送信元、ファイル形式、マクロ、外部通信など技術的なシグナルを基に判断する必要があります。

セキュリティ対策Labでは、中国系APTによる別の標的型攻撃について「中国系APTグループが楽天の請求書を偽装し日本を標的にサイバー攻撃」でも取り上げています。また、APT攻撃の基本的な考え方は「APT攻撃とは？攻撃の特徴や被害事例を解説」で解説しています。

Bitdefenderは今回の調査に関連するIoCをGitHubで公開しています。SOCやCSIRTでは、IoCとの単純一致だけではなく、Google Driveを介した不審なC2通信、正規署名付きアプリケーションからのDLLサイドローディング、Office文書を起点とした異常な実行チェーンなど、行動ベースの検知と組み合わせて確認することが重要です。