Antino Backdoor Uses Outlook and OneDrive for C2 in China-Nexus Espionage Campaign

Una cam­pa­ña de ci­ber­es­pio­na­je di­ri­gi­da a or­ga­ni­za­cio­nes gu­ber­na­men­ta­les y de po­lí­ti­cas pú­bli­cas en dis­tin­tos paí­ses de Asia ha pues­to en evi­den­cia el uso de una puer­ta tra­se­ra hasta ahora des­co­no­ci­da, lla­ma­da An­tino. Esta ame­na­za es ras­trea­da por es­pe­cia­lis­tas bajo una eti­que­ta es­pe­cí­fi­ca y em­plea la in­ge­nie­ría so­cial a tra­vés de co­rreos de spear-phishing que si­mu­lan re­mi­ten­tes de con­fian­za para lo­grar el ac­ce­so ini­cial, uti­li­zan­do ade­más una ré­pli­ca vi­sual de la in­ter­faz de ar­chi­vos ad­jun­tos de Gmail.

El malwa­re prin­ci­pal, com­pi­la­do en Rust para sis­te­mas Win­dows, des­ta­ca por uti­li­zar de forma ex­clu­si­va apli­ca­cio­nes de Mi­cro­soft 365, es­pe­cí­fi­ca­men­te Outlook y One­Dri­ve, para su in­fra­es­truc­tu­ra de co­man­do y con­trol en lugar de ser­vi­do­res tra­di­cio­na­les. A tra­vés de este me­ca­nis­mo, la puer­ta tra­se­ra rea­li­za ta­reas de re­co­no­ci­mien­to, trans­fe­ren­cia de ar­chi­vos y eje­cu­ción de co­man­dos me­dian­te com­po­nen­tes le­gí­ti­mos del sis­te­ma ope­ra­ti­vo.

La au­to­ría de la cam­pa­ña se vin­cu­la con gran con­fian­za a un grupo con nexos en China, ba­sán­do­se en la pre­sen­cia de me­ta­da­tos en chino sim­pli­fi­ca­do, usos ho­ra­rios es­pe­cí­fi­cos en las ca­be­ce­ras de los co­rreos, rutas de re­gis­tro con­cre­tas y la te­má­ti­ca de los se­ñue­los. No obs­tan­te, las in­ves­ti­ga­cio­nes no han po­di­do co­nec­tar esta ac­ti­vi­dad de es­pio­na­je con otros gru­pos de pi­ra­tas in­for­má­ti­cos con mo­ti­va­cio­nes fi­nan­cie­ras que pre­sen­tan si­mi­li­tu­des tác­ti­cas.