Hunt.io-analisten en onderzoeker Guy Yasur hebben command-and-control servers van SpiceRAT geïdentificeerd die actief waren tussen eind 2025 en augustus 2026. Deze SpiceRAT-servers werden eind 2025 voor het eerst opgemerkt, met een opmerkelijke toename in maart 2026 toen vijf servers binnen enkele dagen online kwamen op diverse providers en locaties.

De infrastructuur van SpiceRAT vertoont technische verbanden met de cyberespionagecampagne SilkParasite, die met zeven tools overheden in Centraal-Azië aanviel. Gedeelde parent domeinen, een digitaal certificaat en een gekopieerde webpagina verbinden de SpiceRAT-servers met systemen die aan NodeEdgeRAT en NomadRAT worden toegeschreven. Deze verbindingen suggereren een gemeenschappelijke operatie of een gedeelde ondersteunende functie achter deze ogenschijnlijk aparte systemen.

De campagne SilkParasite richt zich specifiek op overheden, de energiesector en telecommunicatie in Centraal-Azië. De aanvalsvector bestaat uit spear-phishing e-mails met een overheidsthema, die, navertrouwen in de inhoud, gebruikmaken van legitiem lijkende Windows-programma's om malware te installeren. Deze malware verleent vervolgens toegang tot het netwerk van de slachtoffers, wat de achterliggende partij in staat stelt informatie te vergaren en commando's uit te voeren. De namen van de gebruikte infrastructuur leken op overheidsinstanties, staatsenergiebedrijven en telecomorganisaties in Turkmenistan, Tadzjikistan, Oezbekistan, Kirgizië en Kazachstan. Deze namen moeten worden beschouwd als vermeende doelwitten van imitatie, niet als bewijs van inbraken.

De activiteiten gerelateerd aan SilkParasite zijn mogelijk ouder en omvangrijker dan de recente naamgeving suggereert. Passieve DNS-records toonden gerelateerde subdomeinen aan vanaf medio 2022, wat impliceert dat de infrastructuur minstens vier jaar oud is. SilkParasite zou een recent label kunnen zijn voor een langer lopende operatie.

Een terugkerende decoy, gebruikt op dertien servers, was een volledige, doch verouderde kopie van een homepage van RTX Corporation. Deze pagina bevatte geen schadelijke code, maar de exacte overeenkomst in de content hash ervan faciliteerde de onderzoekers bij het in kaart brengen van de infrastructuur. Verder verscheen een certificaat dat leek op dat van een Oezbeekse spoorwegentiteit op acht hosts, waaronder systemen met de gekloonde pagina. Dit certificaat was uitgegeven door TLC, een certificaatautoriteit die gefinancierd wordt door een door de Chinese overheid gesteund communicatieonderzoeksinstuut.

De doelwitten van deze operaties vertonen overlappingen met de door China gelinkte spionagecampagne SilkParasite. Hoewel er een beoordeling is van een China-nexus met een gemiddelde betrouwbaarheid, vestigen de nieuwe netwerkgegevens geen onafhankelijke attributie. Onderzoekers merkten tevens gelijkenissen op met infrastructuur die eerder werd gekoppeld aan vermoedelijke China-nexus-activiteiten, bekend als IndigoZebra, en met FamousSparrow. Deze patronen kunnen voortkomen uit het delen van tools, serviceproviders of conventies.