Antino Backdoor Uses Outlook and OneDrive for C2 in China-Nexus Espionage Campaign
The Hacker News · 2 oct, 19:33
Un actor relacionado con China ha lanzado una campaña de espionaje contra organizaciones gubernamentales y de política en ocho países asiáticos, incluyendo Taiwán, India y Filipinas, mediante phishing dirigido. La campaña despliega Antino, un backdoor compilado en Rust que utiliza Microsoft Outlook y OneDrive como canal de comando y control, evadiendo así los servidores C2 tradicionales. Cisco Talos ha identificado al grupo como UAT-11587 y ha detectado actividad desde septiembre de 2025, con ataques concentrados en junio de 2026.
Antino es un backdoor Windows compilado en Rust que realiza reconocimiento del host, ejecución de shells y PowerShell, transferencia de archivos, carga de shellcode en memoria y persistencia. Su innovación principal es utilizar Microsoft Graph para interactuar con Outlook y OneDrive como canales de comando y control, eliminando la necesidad de servidores C2 dedicados y conspicuos.
La cadena de ataque consta de cinco etapas: comienza con un stager HTA o WSF que descarga desde una URL de Cloudflare Pages, seguido de un descargador JavaScript y una cadena de deserialización .NET que carga TestAssembly.dll. Este .NET descargador descarga el documento carnada (lure), un ejecutable calculadora falsa y el backdoor Antino. El implante (slc.dll) se lanza mediante DLL sideloading usando GatherOsState.exe, un binario legítimo firmado por Microsoft. Las indicaciones de nexo chino incluyen metadatos en chino simplificado, zona horaria UTC+08:00, referencias a rsproxy[.]cn (espejo de crates.io para China), y temática de ataque consistente con intereses de actores alineados con China.
Puntos clave
- Antino es un backdoor Rust compilado para Windows que usa Outlook y OneDrive como C2
- Campaña dirigida a 16 entidades en ocho países asiáticos desde septiembre de 2025
- Cadena de ataque de cinco etapas que comienza con phishing y termina en DLL sideloading
- Indicators de China-nexus: metadatos zh-CN, zona horaria UTC+08:00, referencias a rsproxy[.]cn
- Ataques concentrados entre marzo y junio de 2026, con pico el 8-9 de junio
Figuras de la fuente
