Actores de amenaza vinculados a China han desplegado una nueva campaña de espionaje, identificada como UAT-11587, que utiliza una novedosa backdoor llamada Antino. Este malware ha sido dirigido principalmente a organizaciones gubernamentales y políticas en Asia, pero con indicios de expansión a otras regiones, como Siria. La particularidad de Antino radica en su sofisticado método de comando y control (C2), que abusa de servicios legítimos de Microsoft 365, como Outlook y OneDrive.
Antino es un backdoor compilado en Rust diseñado para sistemas Windows, capaz de realizar reconocimiento de host, ejecución de comandos (shell y PowerShell), transferencia de archivos y carga de shellcode en memoria. El vector de acceso inicial es típicamente el spear-phishing, con correos altamente personalizados que emplean técnicas avanzadas de ingeniería social. Se han observado intentos de suplantar identidades de remitentes confiables y replicar visualmente los widgets de vista previa de adjuntos de Gmail para engañar a las víctimas. Estos correos redirigen a archivos HTA o WSF que inician una cadena de infección de cinco etapas, culminando con la carga del backdoor Antino.
Una vez desplegado, Antino utiliza Outlook para el intercambio de comandos y OneDrive para la comunicación de latidos (heartbeat) y la transferencia de archivos. Esto significa que el malware no depende de servidores C2 tradicionales que podrían ser fácilmente bloqueados, sino que se camufla dentro del tráfico legítimo de Microsoft 365. Además, abusa del framework de Diagnósticos Scripted de Windows para ejecutar PowerShell, lo que complica la atribución y detección basada en el comportamiento, aunque la telemetría de PowerShell y la creación de archivos aún son observables.
Dado que la campaña se basa en spear-phishing avanzado y el abuso de servicios legítimos, las organizaciones deben fortalecer sus defensas de seguridad por capas. Esto incluye sistemas robustos de protección de correo para detectar y bloquear correos maliciosos, incluso aquellos que intentan evadir SPF y DMARC o suplantar interfaces de servicios legítimos. La protección de endpoints con soluciones EDR/XDR (detección y respuesta extendida) es crucial para identificar y mitigar actividades maliciosas en las fases iniciales del ataque y durante la ejecución del backdoor. Es fundamental también la formación continua de los usuarios para reconocer y reportar intentos de phishing sofisticados.
Qué significa para tu empresa: Este tipo de ataque, que se esconde en infraestructuras de confianza como Microsoft 365, subraya la necesidad de una capacidad proactiva de detección y respuesta. Las organizaciones requieren una visibilidad constante sobre sus entornos para identificar anomalías que los atacantes intentan camuflar. En INGENIERÍA TELEMÁTICA S.A.S., nuestro SOC con monitoreo 24/7 está diseñado precisamente para detectar patrones de comportamiento anómalos en su infraestructura y servicios de nube, incluso cuando los atacantes abusan de plataformas legítimas como Outlook y OneDrive para su comando y control.
Fuente original: The Hacker News — ver artículo →