Связанный с Китаем бэкдор Antino атаковал 16 организаций в Азии через Microsoft 365
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Связанный с Китаем злоумышленник атаковал 16 государственных и политических организаций в восьми странах Азии с помощью ранее неизвестного бэкдора Antino. Cisco Talos отслеживает эту группу под обозначением UAT-11587 и впервые обнаружила её в сентябре 2025 года. Бэкдор использует Outlook и OneDrive из Microsoft 365 для управления и контроля.
Ключевые факты
- Кампания затронула 16 организаций в восьми странах Азии, включая Тайвань, Индию, Филиппины, Камбоджу, Пакистан, Таиланд и Мьянму.
- Antino — это скомпилированный на Rust бэкдор для Windows, поддерживающий разведку на хосте, выполнение shell и PowerShell, передачу файлов, загрузку шеллкода в память и закрепление.
- Канал управления бэкдора работает исключительно через Microsoft 365, используя Microsoft Graph для взаимодействия с Outlook и OneDrive.
- Cisco Talos с высокой уверенностью относит UAT-11587 к китайским группировкам, ссылаясь на язык zh-CN, упрощённые китайские метаданные и часовой пояс UTC+08:00 в заголовках фишинговых писем.
- Злоумышленник впервые обнаружен в сентябре 2025 года в ходе фишинговой кампании против академического, аналитического и гражданского сообщества Тайваня.
Масштаб кампании
Атаки были направлены на государственные и политические организации Тайваня, Индии, Филиппин, Камбоджи, Пакистана, Таиланда и Мьянмы. Cisco Talos впервые обнаружила злоумышленника в сентябре 2025 года в связи с фишинговой кампанией против академического, аналитического и гражданского сообщества Тайваня. С тех пор атаки, связанные с этой группой, расширились до 16 организаций в восьми странах Азии. Тематика приманок и цели включают тайваньские политические, законодательные, гражданские оборонные и политико-исследовательские сюжеты, а также региональные государственные, морские, дипломатические темы и вопросы безопасности.
Бэкдор Antino
Antino — это скомпилированный на Rust бэкдор для Windows, поддерживающий разведку на хосте, выполнение shell и PowerShell, передачу файлов, загрузку шеллкода в память и закрепление. Его собственный канал управления работает исключительно через Microsoft 365, используя Microsoft Graph для взаимодействия с Outlook и OneDrive. Почти дюжина различных сборок Antino содержит пути реестра Cargo, ссылающиеся на rsproxy.cn — высокоскоростное внутреннее зеркало и прокси-сервис для crates.io, ориентированный на материковый Китай. JavaScript-загрузчик, связанный с UAT-11587, ссылается на d32tpl7xt7175h.cloudfront.net — домен CloudFront, ранее отмеченный Arctic Wolf в связи с кампанией китайской группировки UNC6384.
Оценка атрибуции
UAT-11587, по оценке, имеет некоторое пересечение с Jewelbug, которая, в свою очередь, демонстрирует тактическое сходство с китайскими кластерами CL-STA-0049, Earth Alux, Ink Dragon и REF7707. В отчёте, опубликованном принадлежащими Broadcom компаниями Symantec и Carbon Black в августе 2026 года, Jewelbug охарактеризована как базирующаяся в Китае группа хакеров-наёмников, ведущая шпионские операции и криптовалютное мошенничество. Cisco Talos заявила, что собственное расследование не выявило связи между шпионской кампанией и финансово мотивированной деятельностью Jewelbug, что побудило её выделить UAT-11587 в отдельную группу. Злоумышленник классифицирован как связанный с Китаем с высокой уверенностью на основании наличия языка zh-CN и упрощённых китайских метаданных в документах-приманках, а также часового пояса UTC+08:00 в заголовке фишингового сообщения.
1 источник
Время · отставание