Backdoor Antino dùng Outlook và OneDrive làm kênh C2
"Cisco Talos reported a previously undocumented Rust-compiled Windows backdoor, Antino, used in a China-nexus espionage campaign targeting government and policy organizations across Asia and Syria. The malware performs reconnaissance, shell and PowerShell execution, file transfer, in-memory shellcode loading, and persistence, while using Microsoft 365 Graph APIs to route command-and-control through Outlook and OneDrive; no CVE is cited, and the campaign is mitigated through detection of phishing lures, staged downloaders, and DLL sideloading activity."
Rủi ro cao do backdoor gián điệp, C2 ẩn trong Microsoft 365 và khả năng duy trì hiện diện lâu dài trên hệ thống.
Có thể gây rò rỉ dữ liệu nhạy cảm, gián đoạn điều tra nội bộ và tăng chi phí phát hiện, ứng phó sự cố.
Cisco Talos cho biết đã phát hiện một chiến dịch gián điệp mới liên quan đến tác nhân có liên hệ với Trung Quốc, nhắm vào các tổ chức chính phủ và chính sách tại châu Á và Syria. Mã độc được ghi nhận là Antino, một backdoor Windows biên dịch bằng Rust, trước đó chưa được công bố. Chiến dịch được theo dõi dưới mã UAT-11587.
Theo báo cáo, Antino có thể thực hiện trinh sát máy chủ, chạy shell và PowerShell, truyền tệp, nạp shellcode trong bộ nhớ và duy trì persistence. Điểm đáng chú ý là kênh command-and-control (C2) của mã độc hoạt động qua Microsoft 365 Graph API, sử dụng Outlook và OneDrive để che giấu lưu lượng điều khiển.
Chuỗi tấn công bắt đầu bằng spear-phishing, sau đó dùng HTA/WSF stager, JavaScript downloader, và cuối cùng triển khai backdoor qua DLL sideloading với một tệp hợp lệ do Microsoft ký. Talos cũng ghi nhận các mồi nhử được cá nhân hóa, giả mạo người gửi đáng tin cậy và mô phỏng giao diện đính kèm của Gmail để tăng khả năng người dùng mở tệp.
Khuyến nghị: tăng giám sát phishing, kiểm tra hoạt động DLL sideloading, theo dõi truy cập bất thường tới Outlook/OneDrive qua Microsoft Graph, và rà soát các chỉ báo liên quan đến HTA, WSF và JavaScript downloader.