新一波網路間諜活動曝光 SilkParasite以5種RAT滲透中亞政府

08/31/2026

SilkParasite 網路間諜活動近期曝光，攻擊者鎖定中亞政府機關，透過魚叉式釣魚郵件與惡意文件散布多種遠端存取木馬（RAT），藉此竊取敏感資訊。

🚩魚叉式釣魚郵件成為攻擊入口　政府文件成誘餌

Bitdefender 近日揭露一波名為 SilkParasite 的網路間諜活動，攻擊目標主要集中在中亞地區的政府機關。研究人員追蹤發現，這波行動至少可追溯至 2025 年，攻擊者會利用精心設計的魚叉式釣魚郵件接觸特定目標，再透過偽裝成政府或公務相關資料的文件，誘使收件者開啟惡意檔案。

攻擊過程中，受害者收到的郵件會夾帶經過加密的 RAR 壓縮檔，裡面的 Office 文件乍看之下與一般政府公文或業務資料沒有太大差異，但實際上卻被用來啟動後續感染流程。

一旦受害者按照指示開啟文件，攻擊者便有機會在裝置中植入遠端存取木馬（Remote Access Trojan，RAT），建立長期控制管道，進一步蒐集系統與敏感資訊。

🚩攻擊最早可追溯至2025年　多個中亞國家政府遭鎖定

Bitdefender 研究人員最早於 2025 年 10 月，在中亞一個負責經濟決策的政府機關發現相關感染活動。

隨著調查範圍擴大，研究團隊陸續在烏茲別克、土庫曼、吉爾吉斯、塔吉克與哈薩克等國家的政府機關發現相關攻擊誘餌，顯示這並非單一組織遭遇的偶發事件，而是一波具有明確區域與目標特徵的網路間諜行動。

從攻擊對象來看，SilkParasite並不是大量向一般網路使用者散布惡意程式，而是鎖定具有政府、政策或經濟情報價值的特定目標，透過客製化誘餌提高受害者開啟檔案的機率。

🚩一次出現7種RAT　其中5種過去從未被發現

這波攻擊另一項受到研究人員關注的特點，是攻擊者使用的惡意程式種類相當多。

Bitdefender 在調查期間一共辨識出 7 個不同的 RAT 家族，其中有 5 個是研究人員首次發現的新型 RAT。

這些惡意程式並非全部採用相同的運作方式。攻擊者大量運用 DLL Side-Loading（DLL 側載） 技術，藉由合法程式載入惡意 DLL，讓惡意程式能藏在看似正常的程式執行流程中，提高偵測難度。

同時，部分 RAT 採取模組化設計。初期感染時不需要一次把所有惡意功能部署到受害裝置，而是先建立基本的控制能力，再依照攻擊需求下載其他功能模組。

這種方式不只能減少初始惡意程式的體積，也能降低感染初期留下的可疑特徵，使攻擊者更容易長時間潛伏在目標環境中。

🚩Google Drive也成為駭客C2通訊工具

為了避免惡意流量被資安設備快速識別，SilkParasite使用的不同 RAT 也設計了多種指揮與控制（Command and Control，C2）方式。

其中 DriveSilkRAT 的作法尤其受到研究人員注意。它並非單純連線至傳統惡意 C2 伺服器，而是利用 Google Drive 接收攻擊者下達的指令，並將執行結果回傳。

由於 Google Drive 本身是企業與政府機關常見的合法雲端服務，相關網路流量未必會立即被視為異常。攻擊者藉此將惡意通訊藏進日常雲端服務流量之中，提高資安人員辨識的難度。

另外一些 RAT 則會利用 HTTP Cookie、ETag 等正常 HTTP 標頭欄位交換 C2 資訊，進一步讓攻擊流量看起來更接近一般網站通訊。

🚩攻擊手法出現中國駭客活動特徵

Bitdefender 在分析 SilkParasite 使用的工具、基礎設施與惡意程式後，也發現部分後門程式及相關技術曾出現在過去與中國駭客活動有關的事件中。

綜合目前掌握的技術線索，研究人員認為 SilkParasite可能與具有中國背景的威脅行動存在關聯。

不過，網路間諜活動的攻擊者歸屬通常需要從惡意程式碼、攻擊基礎設施、歷史活動、目標選擇及操作手法等多項證據交叉比對，因此現階段較適合將相關證據視為攻擊來源的重要線索，而非僅憑單一技術特徵判斷。

🚩合法服務成為掩護　網路間諜活動更難被察覺

SilkParasite事件也反映出現代進階網路攻擊的一項趨勢：攻擊者正越來越常把惡意行為藏進合法工具與正常網路流量之中。

從DLL側載、模組化惡意程式，到利用Google Drive及HTTP標頭進行C2通訊，目的都是降低惡意活動與正常使用行為之間的差異。

對政府機關與企業而言，只依靠封鎖已知惡意網址或辨識特定惡意程式，可能不足以發現這類長期潛伏的間諜活動。除了強化電子郵件與端點防護，也需要持續觀察異常程序、DLL載入、雲端服務連線及網路流量行為，才能更早發現藏在正常活動背後的攻擊跡象。

參考來源 : 研究人員揭露SilkParasite網路間諜活動，鎖定中亞政府散布5種新型RAT | iThome