Nova campanha de espião estatal atinge governos na Ásia com backdoor Antino

Organizações governamentais e de políticas em sete países asiáticos tornaram-se alvos de uma campanha orquestrada por um grupo de ameaças vinculado à China, identificado pela Cisco Talos como UAT-11587.

A atividade foi inicialmente detectada em setembro de 2025, quando o grupo lançou uma campanha de spear-phishing contra comunidades acadêmicas, think tanks e organizações civis em Taiwan. Desde então, os ataques se expandiram para 16 entidades em oito nações, incluindo Índia, Filipinas, Camboja, Paquistão, Tailândia e Mianmar.

O foco principal da campanha é a implantação de um backdoor anteriormente desconhecido chamado Antino, um malware compilado em Rust para Windows. Segundo a pesquisadora de segurança Ashley Shen, o Antino permite reconhecimento de hosts, execução de shells e PowerShell, transferência de arquivos, carregamento de shellcode em memória e persistência no sistema.

Loira algo incomum, o Antino não depende de servidores de comando e controle (C2) dedicados. Em vez disso, utiliza o Microsoft 365 como canal nativo de comunicação, interagindo com Outlook e OneDrive por meio do Microsoft Graph.

UAT-11587 compartilha certas semelhanças com o grupo conhecido como Jewelbug, que, segundo relatório de Symantec e Carbon Black publicado em agosto de 2026, atua como hacker corporado oferecendo serviços de espião e fraudes criptograficas. Apesar da sobreposição tática, a Cisco Talos afirma não ter encontrado conexões diretas entre a campanha de espião e as atividades financeiras de Jewelbug, classificando-assoft como um conjunto separado.

A classificação do grupo como chinês se dá por evidências linguísticas, como metadados em zh-CN e fuso horário UTC+08:00 nos cabeçalhos de e-mail usados nas engenharias sociais.

A campanha também demonstra precariedade nas técnicas de engenharia social. Os autores usaram URLs hospedadas no Cloudflare Pages para servir arquivos HTA ou WSF, disfarçados de anexos do Gmail, que, ao serem abertos, redirecionavam para o download de um carregador em JavaScript e, posteriormente, ao backdoor.

O ciclo de ataque é dividido em cinco estágios. Após a execução do estagio inicial, uma sequência de desserialização .NET carrega uma DLL chamada TestAssembly.dll, que por sua vez implanta o backdoor slc.dll usando uma técnica de sideloading com o binário GatherOsState.exe da Microsoft.

Para comunicação com o C2, o Antino verifica a caixa de entrada do Outlook a cada 10 segundos em busca de comandos com o prefixo ‘command_req_[session_id]’. Arquivos são transferidos e o status do agente é reportado por meio de objetos do OneDrive.

Com informações de: The Hacker News (THN)