Хакери създадоха задна врата за Windows, чиято цяла C2 инфраструктура се намира в Microsoft 365

Хакери са създали задна врата (backdoor) за Windows, която използва Microsoft 365 за всички свои компрометирани комуникации за командване и управление (C2). Наречен Antino, зловредният софтуер превръща съобщенията в Outlook и файловете в OneDrive в канали за издаване на инструкции, прехвърляне на откраднати данни и поддържане на достъп до компрометирани компютри.

По-широката кампания започна през септември 2025 г. и беше насочена към правителствени, отбранителни, дипломатически, академични и политически организации.

Атакуващите са използвали внимателно пригодени фишинг имейли, убедителни документи и фалшиви инсталатори на софтуер, за да доставят задната врата, комбинирайки познати интерфейси с облачни услуги, на които организациите рутинно се доверяват.

Изследователи от Cisco Talos идентифицираха операцията като UAT-11587 и оцениха връзките ѝ с Китай с висока степен на увереност.

От Cisco Talos заявиха в доклад, прегледан от Cyber Security News (CSN), че тяхното разследване е разкрило приблизително 350 компрометирани крайни точки в осем държави до юли 2026 г.

Talos регистрира 10 потвърдени и пет вероятни засегнати институционални среди, плюс една намерена цел. Държавите включваха Тайван, Индия, Филипините, Камбоджа, Пакистан, Тайланд, Мианмар и Сирия.

Констатациите отразяват по-широките рискове от атаки, заобикалящи защитите на имейл чрез познати платформи, въпреки че Talos оценява тази кампания като събиране на разузнавателна информация, а не като финансово мотивирана дейност.

Hackers Built a Windows Backdoor

Antino е написан на Rust и се предлага както в изпълним формат, така и под формата на библиотека. Неговият нативен контролен канал използва Microsoft Graph, интерфейсът, който приложенията използват за достъп до услугите на Microsoft.

Outlook пренася команди и отговори, докато OneDrive управлява регистрацията, актуализациите на състоянието, откраднатите файлове и инструментите, доставени от атакуващите.

Този подход следва по-ранни случаи на киберпрестъпници, злоупотребяващи с облачни услуги за прикрита комуникация, но Antino поставя целия си нативен контролен работен процес в Microsoft 365. Облачната инфраструктура, използвана за доставяне на зловредния софтуер, е отделена от услугите, които го контролират след инсталацията.

По-новото поколение се удостоверява чрез приложение в Entra ID, използвайки съхранени идентификационни данни на приложението, без да изисква интерактивен потребителски вход.

То проверява контролирана от атакуващия пощенска кутия в Outlook на всеки 10 секунди, извлича инструкции от съдържанието на съобщенията и публикува отговори, които позволяват на операторите да съпоставят резултатите с отделни задачи.

OneDrive получава файл със състоянието всяка минута, съдържащ името на компютъра, потребителското име, платформата, идентификатора на сесията и кода на кампанията.

Отделни папки съдържат откраднати файлове на жертви и входящи инструменти. Тези обмени позволяват на оператора да контролира заразените машини, без да излага специализиран команден сървър на мрежов мониторинг.

Задната врата може да инспектира системи, да изпълнява shell и PowerShell команди, да прехвърля файлове, да стартира програми и да зарежда допълнителен код директно в паметта.

Опционална функция за скриване криптира зареден вторичен зловреден код, докато той е в режим на сън, намалявайки излагането му пред скенери на паметта, без да крие целия процес на Antino или да гарантира избягване на откриването.

Phishing Opens a Layered Infection

Фишинг имейлите са се представяли за доверени организации и са пресъздавали картата за преглед на прикачени файлове в Gmail. Кликването върху видимия прикачен файл вместо това е отваряло връзка за изтегляне, контролирана от атакуващия.

Политически събития, законодателно данъчно облагане, морски спорове и държавна администрация са предоставили съответните теми, които са направили съобщенията по-убедителни за техните предназначени получатели.

В едно прегледано съобщение автентификацията на подателя е преминала успешно за изпращащия домейн на атакуващия, но видимият подател не е съвпадал. DMARC е открил несъответствието, но политика само за мониторинг е позволила доставката.

Тази разлика е от значение, тъй като успешната проверка на подателя не е удостоверила автентичността на организацията, за която получателите са смятали, че се е свързала с тях.

Повтаряща се верига от пет етапа е използвала скриптови компоненти на Windows, криптиран JavaScript и незащитена обработка на .NET обекти за зареждане на изтеглящ модул (downloader) в паметта.

Изтеглящият модул е отварял документ примамка и е стартирал подписан изпълним файл на Microsoft до зловредната библиотека, използвайки техники за атака чрез DLL sideloading, за да стартира Antino под доверен хост.

Talos базира своето атрибутиране на няколко улици, включително езикови настройки на документа, артефакти от разработката и насочването на кампанията. Също така са намерени съвпадения с дейност, докладвана като Jewelbug, но не можа независимо да потвърди връзки с финансовите операции на тази група.

Споделената инфраструктура за доставка подсказва за друга възможна връзка, въпреки че изследователите оцениха тези отношения с ниска степен на увереност и запазиха отделно проследяване.

Antino също така е злоупотребявал с компоненти от Windows за отстраняване на неизправности, за да изпълнява PowerShell и да установи персистентност при стартиране. Talos отбелязва, че това маскира пътя на изпълнение, но все пак оставя наблюдаема скриптова дейност, създаване на файлове и промени в регистъра.

Неговият доклад предоставя сигнатури за откриване и мрежови правила, давайки на защитниците конкретно покритие заедно с потвърдените от източника индикатори по-долу.

Indicators of compromise (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване или хипервръзка. Възстановете ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.