Китайская группировка UAT-11587 атакует госструктуры Азии через бэкдор Antino и Microsoft 365
Cisco Talos выявила активность группировки UAT-11587, связываемой с Китаем, которая атакует государственные и политические организации по всей Азии — в Тайване, Индии, Филиппинах и Камбодже. Злоумышленники распространяют ранее не документированный бэкдор Antino, использующий Microsoft 365 в качестве канала управления. По состоянию на июль 2026 года выявлено не менее 16 пострадавших или атакованных организаций в восьми странах региона.
Подробности
Antino — это скомпилированный на Rust бэкдор для Windows, поддерживающий разведку хоста, выполнение команд через shell и PowerShell, передачу файлов, загрузку shellcode в память и закрепление в системе. Ключевая особенность вредоноса — командный канал C2 работает исключительно через Microsoft 365, используя Microsoft Graph для взаимодействия с Outlook и OneDrive. Вместо выделенного командного сервера злоумышленники применяют объекты Outlook и OneDrive как тайники (dead drops), что затрудняет обнаружение. Talos выявила повторяющуюся цепочку доставки, которая начинается со spear-phishing писем и специально подготовленных документов-приманок, после чего следует пятиэтапная цепочка заражения. Атакующие активно использовали инфраструктуру Cloudflare для доставки, отслеживания выполнения и размещения полезной нагрузки. Первоначально кампания была обнаружена в ходе расследования spear-phishing атаки, нацеленной в марте 2026 года на академическое сообщество, аналитические центры и гражданское общество Тайваня в сфере политики. Письмо имитировало интерфейс вложений Gmail и перенаправляло жертву в облачную многоэтапную цепочку заражения. Дальнейшее расследование показало, что активность выходит за пределы первоначальной тайваньской операции — подтверждённые или вероятные пострадавшие госструктуры и организации в сфере безопасности были выявлены в нескольких странах Азии. Во время подготовки отчёта Symantec опубликовала исследование об активности, отслеживаемой как Jewelbug. Talos обнаружила пересечения между UAT-11587 и шпионской деятельностью, связанной с Antino и приписываемой Jewelbug. При этом Symantec, сообщая о причастности Jewelbug как к шпионажу, так и к криптовалютному мошенничеству, оценила, что «SEO-бизнес предоставлял доступ, доставку и инфраструктуру для шпионской операции, а не один человек выполнял обе роли». Talos не смогла независимо подтвердить связь между шпионской кампанией и финансово мотивированной деятельностью Jewelbug, поэтому отслеживает UAT-11587 как отдельный набор активности.Что делать
Организациям, особенно государственным и политическим структурам в Азии, рекомендуется усилить контроль за входящей почтой и фильтрацию spear-phishing сообщений, включая поддельные интерфейсы почтовых сервисов. Следует внимательно мониторить необычную активность в Microsoft 365 — в частности, обращения к Microsoft Graph, работу с объектами Outlook и OneDrive, которые могут использоваться как скрытый канал C2. Целесообразно ограничить и логировать использование PowerShell и загрузку shellcode, а также контролировать взаимодействие с инфраструктурой Cloudflare на предмет подозрительных доменов. Регулярный аудит механизмов закрепления в системе и мониторинг аномального поведения процессов помогут своевременно выявлять компрометацию. Итог: кампания UAT-11587 демонстрируетTrend смещения APT-группировок к использованию легитимных облачных сервисов в качестве скрытых каналов управления, что требует пересмотра подходов к обнаружению угроз. Организациям региона следует рассматривать эту активность как приоритетную и усилить соответствующие меры защиты.Источник: Cisco Talos Intelligence