OctLurk i SilkLurk uderzają w rządy Azji Centralnej. Nowa kampania cyberszpiegowska budzi obawy

Co znajdziesz w tym artykule?

1 Wprowadzenie do problemu / definicja
2 W skrócie
3 Kontekst / historia
4 Analiza techniczna
5 Konsekwencje / ryzyko
6 Rekomendacje
7 Podsumowanie
8 Źródła

Wprowadzenie do problemu / definicja

Badacze bezpieczeństwa ujawnili kampanię cyberwywiadowczą wymierzoną przede wszystkim w instytucje rządowe i podmioty publiczne w Azji Centralnej. W operacji zidentyfikowano dwa nowe backdoory — OctLurk i SilkLurk — oraz komponent pośredniczący LurkProxy, który wspiera ukrywanie ruchu i utrzymanie łączności z infrastrukturą dowodzenia.

To przykład zaawansowanej operacji szpiegowskiej nastawionej nie na sabotaż, lecz na długotrwałe utrzymanie dostępu, zbieranie poświadczeń, poruszanie się po sieci ofiary i selektywną eksfiltrację danych. Szczególną uwagę zwraca modułowa architektura malware, działanie głównie w pamięci oraz wykorzystanie legalnych narzędzi administracyjnych.

W skrócie

Kampania jest obserwowana co najmniej od stycznia 2025 roku.
Celami są m.in. instytucje publiczne w Afganistanie, Kirgistanie, Tadżykistanie, Uzbekistanie, Kazachstanie oraz Syrii.
Malware obejmuje dwa nowe backdoory: OctLurk i SilkLurk, a także narzędzie LurkProxy.
Atakujący koncentrują się na kradzieży danych, pozyskiwaniu poświadczeń i ruchu bocznym.
Badacze podejrzewają chińskojęzyczne zaplecze operatorskie, ale nie przypisali kampanii do konkretnej grupy APT.

Kontekst / historia

Analiza kampanii opublikowana pod koniec lipca 2026 roku wskazuje, że aktywność nie została jeszcze formalnie powiązana z wcześniej skatalogowanym przeciwnikiem. Jednocześnie badacze zauważyli nakładanie się infrastruktury z wcześniejszymi operacjami wykorzystującymi implant SilentRaid, znany również jako MystRodX i TrustFall.

Tego typu zbieżność może sugerować współdzielenie zaplecza technicznego, ponowne użycie infrastruktury albo rozwój warsztatu w obrębie tego samego ekosystemu operacyjnego. Dodatkowo w części incydentów związanych z SilkLurk odnotowano wdrażanie PlugX, czyli dobrze znanego backdoora często kojarzonego z chińskojęzycznymi operacjami cyberszpiegowskimi.

Na poziomie taktyki kampania wpisuje się w model działań ukierunkowanych na dyskrecję: ograniczanie śladów na dysku, intensywne użycie pamięci operacyjnej, rekonesans środowiska, zbieranie haseł, skanowanie sieci oraz wybiórcze pozyskiwanie dokumentów i wiadomości.

Analiza techniczna

Początkowy wektor dostępu nie został publicznie jednoznacznie potwierdzony. Wiadomo jednak, że OctLurk jest uruchamiany przy pomocy loadera i wstrzykiwany do pamięci. Przed rozwinięciem aktywności malware sprawdza łączność z określoną domeną kontrolną, a następnie uruchamia skrypt wsadowy odpowiedzialny za start komponentu LurkProxy.

LurkProxy komunikuje się z serwerem C2 i działa jako warstwa pośrednicząca dla ruchu sieciowego. Może pracować jako reverse proxy w trybie SOCKS5 albo transparentnym, co umożliwia przekierowanie ruchu przez przejęty host i dalsze ukrywanie operacji.

Po uruchomieniu OctLurk zbiera informacje o systemie, szyfruje je i przekazuje operatorom. Backdoor potrafi ładować kolejne moduły bezpośrednio do pamięci, co utrudnia analizę śledczą i ogranicza liczbę artefaktów pozostawianych na dysku.

Zidentyfikowane możliwości OctLurk obejmują wykonywanie poleceń, operacje na plikach, odczyt i modyfikację schowka, wykonywanie zrzutów ekranu oraz symulowanie ruchów myszy. W fazie post-compromise operatorzy wykorzystywali ten zestaw do profilowania hosta, analizy zdarzeń logowania, pozyskiwania hashy haseł z kontrolerów domeny oraz uruchamiania dodatkowych narzędzi.

pozyskiwanie hashy haseł z użyciem secretsdump z pakietu Impacket,
uruchamianie keyloggera podszywającego się pod legalne narzędzie zdalnego dostępu,
odszyfrowywanie haseł zapisanych w Google Chrome i Mozilla Firefox,
uzyskiwanie zdalnego dostępu przez agenta Pandora RC,
skanowanie sieci lokalnych i publicznych przy użyciu Fscan,
próby logowania do usług takich jak SSH i MySQL z wykorzystaniem zapisanych haseł,
łączenie się z serwerami pocztowymi w celu zbierania lub modyfikacji wiadomości.

SilkLurk jest wdrażany odmienną ścieżką. Startuje z użyciem biblioteki DLL uruchamianej w łańcuchu DLL side-loading, po czym nawiązuje połączenie TCP do serwera C2 wskazanego w konfiguracji. Następnie zbiera dane o ofierze, odbiera polecenia i może ładować kolejne moduły bezpośrednio do pamięci.

W aktywności powiązanej z SilkLurk zaobserwowano wykonywanie poleceń PowerShell, mapowanie zasobów sieciowych z użyciem uprawnień administracyjnych, wyszukiwanie poufnych dokumentów oraz przygotowywanie ich do eksfiltracji. Do archiwizacji danych stosowano również legalne narzędzia, takie jak WinRAR i 7-Zip.

Szczególnie istotną cechą obu rodzin malware jest mechanizm kodowania zależny od konkretnej maszyny. OctLurk wykorzystuje numer seryjny dysku, a SilkLurk nazwę komputera do dekodowania lokalizacji i zawartości ładunku. Taka personalizacja utrudnia automatyczną analizę próbek i budowę stabilnych sygnatur detekcyjnych.

Konsekwencje / ryzyko

Dla administracji publicznej i organizacji o wysokiej wartości wywiadowczej zagrożenie ma charakter wielowarstwowy. Przede wszystkim malware zapewnia skryty i trwały dostęp do stacji roboczych oraz może stanowić punkt wejścia do bardziej wrażliwych segmentów infrastruktury.

Wbudowane funkcje credential access, network discovery i zdalnego wykonywania poleceń zwiększają ryzyko eskalacji incydentu do poziomu domeny. Jednocześnie moduły służące do zbierania dokumentów, wiadomości i haseł wskazują, że głównym celem operatorów jest długoterminowe szpiegostwo i kradzież informacji operacyjnych.

Dodatkowym problemem jest wykorzystanie narzędzi typu dual-use oraz legalnego oprogramowania administracyjnego. W praktyce część aktywności może wyglądać jak zwykłe działania administratorów, co znacząco obniża szanse szybkiego wykrycia incydentu w środowiskach o ograniczonej telemetrii.

Rekomendacje

Organizacje publiczne i podmioty obsługujące dane wrażliwe powinny traktować tę kampanię jako modelowy przykład zaawansowanego zagrożenia post-exploitation. Odpowiedź defensywna powinna obejmować zarówno warstwę endpointów, jak i monitoring ruchu sieciowego oraz zarządzanie tożsamością.

wzmocnienie telemetryki endpointów, zwłaszcza w zakresie iniekcji do pamięci, ładowania DLL i nietypowych połączeń wychodzących,
monitorowanie użycia PowerShell, archiwizatorów, narzędzi zdalnego dostępu i skanerów sieciowych,
ograniczanie ryzyka DLL side-loading poprzez allowlisting i kontrolę integralności aplikacji,
wdrożenie segmentacji sieci i ograniczeń ruchu bocznego między stacjami, serwerami i kontrolerami domeny,
ochrona poświadczeń oraz ścisły nadzór nad kontami uprzywilejowanymi,
korelacja logów zdalnych logowań i wykrywanie nietypowych sesji administracyjnych,
analiza tunelowania i ruchu proxy wychodzącego, szczególnie gdy host użytkownika zaczyna pełnić funkcję pośrednika,
rozwój reguł threat huntingu pod kątem modułowych backdoorów działających w pamięci i niestandardowej komunikacji C2,
ograniczenie lokalnego przechowywania haseł w przeglądarkach,
prowadzenie analiz incydentów w całym łańcuchu ataku, a nie wyłącznie na poziomie pojedynczego hosta.

Podsumowanie

OctLurk, SilkLurk i LurkProxy pokazują dojrzałe podejście do operacji cyberszpiegowskich: modułowość, działanie w pamięci, personalizację ładunków pod konkretną maszynę oraz umiejętne wykorzystanie legalnych narzędzi po kompromitacji. Kampania wymierzona w instytucje Azji Centralnej potwierdza, że sektor publiczny pozostaje jednym z głównych celów długofalowych operacji wywiadowczych.

Dla zespołów bezpieczeństwa najważniejszy wniosek jest jasny: tradycyjne monitorowanie oparte wyłącznie na artefaktach dyskowych i prostych sygnaturach nie wystarczy. Kluczowe stają się widoczność pamięci, analiza ruchu bocznego, korelacja zdarzeń administracyjnych oraz szybkie wychwytywanie pozornie legalnych działań, które w rzeczywistości są elementem zaawansowanej kompromitacji.