Antino versteckt Spionageverkehr in Outlook und OneDrive

UAT-11587 nahm Behörden und öffentliche Einrichtungen in Asien ins Visier

Cisco Talos beobachtet seit September 2025 eine Spionagegruppe, die als UAT-11587 bezeichnet wird. Bis Juli 2026 hatte sich die Aktivität auf mindestens 16 Behörden und politische Organisationen in acht asiatischen Ländern ausgeweitet. Das geht aus einem am 3. Oktober 2026 veröffentlichten Bericht hervor.

Bei der Operation kam Antino zum Einsatz, eine bislang undokumentierte Windows-Backdoor, die über Microsoft-365-Dienste kommuniziert. Statt für ihren nativen Kommunikationskanal auf einen eigens eingerichteten Command-and-Control-Server angewiesen zu sein, nutzt die Malware Microsoft Graph, um mit Outlook und OneDrive zu interagieren.

Zu den gemeldeten Zielen gehörten Verteidigungsministerien, Parlamente, Außenministerien, Grenz- und Innensicherheitsbehörden, Denkfabriken und zivilgesellschaftliche Organisationen. Solche Einrichtungen verfügen wahrscheinlich über Informationen zu Regierung, Diplomatie, Sicherheit oder Politik, die für eine Geheimdienstoperation relevant sein könnten.

Talos berichtete außerdem von rund 350 kompromittierten Endgeräten in acht Ländern. Diese Zahl ist nicht mit der Zahl der angegriffenen Organisationen gleichzusetzen. Den größten kurzfristigen Anstieg im Berichtszeitraum gab es demnach in Indien: Dort kamen innerhalb von zwei Tagen im Juni etwa 57 neue Endgeräte hinzu. Für diesen Zeitraum im Juni wurde kein Jahr angegeben.

Outlook wird zum Kanal für Steuerbefehle

Antino ist in Rust programmiert und unterstützt 32-Bit- und 64-Bit-Windows. Die Malware kann ein infiziertes System untersuchen, Kommandozeilen oder PowerShell aufrufen, Dateien übertragen, Shellcode direkt im Arbeitsspeicher ausführen und sich dauerhaft im System verankern.

Nach der Aktivierung fragt das Implantat alle 10 Sekunden einen Ordner in einem Outlook-Postfach ab. Anweisungen der Angreifer und Antworten des Implantats werden als JSON in speziell aufgebauten E-Mail-Betreffzeilen dargestellt. Zwei Präfixe kennzeichnen die Nachrichtentypen:

• command_req_[session_id] kennzeichnet Steuerbefehle für das Implantat.
• command_res_[session_id] kennzeichnet Ergebnisse, die das Implantat zurücksendet.

So wird das Postfach zur Steuerungsschnittstelle. Outlook überträgt Befehle und Ausführungsergebnisse, während Microsoft Graph den programmatischen Zugriff auf den Dienst ermöglicht.

OneDrive erfüllt eine andere Aufgabe. Die Angreifer verwenden separate Ordner, um gesammeltes Material zu verschieben und zusätzliche Tools oder Dateien bereitzustellen. Die Begriffe spiegeln ihre Perspektive wider: „Uploads“ werden an das Opfer übermittelt, während „Downloads“ vom kompromittierten System abgerufen werden.

Werden diese Vorgänge über Microsoft 365 abgewickelt, können sie wie legitime Cloud-Aktivitäten wirken. Die beschriebenen Aktivitäten nutzen keine Schwachstelle in einem Microsoft-Produkt aus. Außerdem nennt der Bericht keinen dedizierten externen Server für Antinos nativen C2-Mechanismus.

Phishing kombinierte maßgeschneiderte Dokumente mit visueller Täuschung

Die Angreifer nutzten gezielte Phishing-Nachrichten für den Erstzugriff. Ein Köder gab sich als Workshop-Material zum Thema Informationskrieg um Taiwan aus. Ein anderer ahmte einen echten Bescheid des taiwanischen Finanzministeriums zur steuerlichen Behandlung von Abgeordneten nahezu exakt nach. Das Thema passte zu den Empfängern aus dem öffentlichen Sektor.

In einem weiteren Fall machten sich die Angreifer einen Bericht der Associated Press über angebliche russische Angebote an die USA in Bezug auf Venezuela zunutze. Zugehörige Malware-Proben tauchten zwei Tage nach der Veröffentlichung der ursprünglichen Meldung auf VirusTotal auf. Das Veröffentlichungsdatum der Meldung wurde nicht genannt.

Die Kampagne nutzte außerdem Schwächen in den Richtlinien zur E-Mail-Authentifizierung aus, ohne die zugrunde liegenden Protokolle zu umgehen. Die Nachrichten wurden über einen legitimen Anbieter versendet und nutzten eine autorisierte technische Versanddomain. Daher war die SPF-Prüfung für den tatsächlichen Absender erfolgreich.

Die sichtbare From-Adresse täuschte jedoch die Zielorganisation vor. Wegen dieser Abweichung schlug DMARC fehl. Die Nachrichten wurden trotzdem zugestellt, weil die DMARC-Richtlinie der gefälschten Domain nur auf Überwachung und nicht auf Zurückweisung eingestellt war.

Eine weitere Täuschung imitierte die Vorschau für Anhänge in Gmail. Eingebettete Bilder und gerendertes HTML erzeugten eine gefälschte Vorschaukarte, die Empfänger auf eine von den Angreifern kontrollierte Seite leitete. Dabei handelte es sich um eine Nachbildung der Benutzeroberfläche, nicht um die Ausnutzung einer Schwachstelle in Gmail.

Fünf Ausführungsphasen mündeten in DLL-Sideloading

Nachdem ein Empfänger auf den schädlichen Link geklickt hatte, durchlief die Infektion laut Bericht fünf Phasen. Der verfügbare Bericht zählt nicht alle Phasen einzeln auf, nennt aber HTA-Dateien, den Windows Script Host und die skriptbasierte .NET-Deserialisierung als Bestandteile.

Im Verlauf der Infektion wurde bei der .NET-Technik eine etablierte Gadget-Kette so angepasst, dass von den Angreifern kontrollierter Code in einem vertrauenswürdigen Prozess ausgeführt wurde. In der letzten Phase wurde Antino mithilfe einer signierten Microsoft-Diagnosedatei per DLL-Sideloading geladen. Windows vertraut dieser Datei standardmäßig, wodurch die Infektionskette eine legitim wirkende Komponente zur Codeausführung enthält.

Laut Bericht liefen nahezu alle Phasen über Cloudflare Pages, Cloudflare R2 und Amazon CloudFront. Durch den Einsatz weit verbreiteter Cloud-Infrastrukturen konnten die zugehörigen Verbindungen neben gewöhnlichem HTTPS-Verkehr untergehen.

Diese Angaben beschreiben die beobachtete Infektionskette. Sie belegen nicht, dass jeder UAT-11587 zugeschriebene Angriff genau denselben Ablauf nahm.

Die Zuordnung stützt sich auf mehrere Hinweise zur Entwicklung

Talos bewertet mit hoher Zuversicht, dass UAT-11587 einen Bezug zu China hat. Diese Einschätzung beruht auf mehreren Indikatoren und nicht auf einem einzelnen Artefakt, das die Angreifer zweifelsfrei identifiziert.

Metadaten von Köderdokumenten enthielten Sprachmarkierungen für vereinfachtes Chinesisch und einen Zeitstempel in UTC+8. Talos fand außerdem in 10 Antino-Builds Verweise auf einen Rust-Paketspiegel, der Abhängigkeits-Downloads innerhalb des chinesischen Festlands beschleunigen soll.

In die Bewertung flossen zudem Hinweise zur Entwicklung, zur Vorbereitungsumgebung, zur Zielauswahl und zum operativen Vorgehen ein. Zusammengenommen stützten diese Erkenntnisse die Einschätzung von Talos.

Sie geben jedoch keinen unabhängigen Aufschluss darüber, wer UAT-11587 tatsächlich betreibt. Der angenommene China-Bezug bleibt daher eine zugeschriebene nachrichtendienstliche Bewertung und ist keine unabhängig bestätigte Identifizierung einer bestimmten Organisation oder Regierungseinheit.

Verteidiger können Protokollmerkmale und den Kontext von Cloud-Diensten prüfen

Antinos Funktionen ermöglichen anhaltende Überwachung, die Ausführung von Befehlen aus der Ferne, dauerhafte Präsenz im System sowie den Abruf oder die Übermittlung von Dateien. Die Nutzung gängiger Microsoft-365-Dienste stellt dabei die zentrale Herausforderung für die Abwehr dar: Allein am Ziel lässt sich die Aktivität möglicherweise nicht von gewöhnlichem Verkehr unterscheiden.

Die Präfixe command_req_[session_id] und command_res_[session_id] sind konkrete Protokollmerkmale, die Verteidigern als Ansatzpunkte für Untersuchungen dienen können. Ihr Auftreten in Outlook-Daten könnte Anlass sein, es mit ungewöhnlichen Postfachzugriffen, Aktivitäten über Microsoft Graph, der Ausführung auf Endgeräten und OneDrive-Übertragungen abzugleichen. Der Bericht macht keine Angaben dazu, wie zuverlässig sich diese Zeichenfolgen in allen Umgebungen erkennen lassen.

E-Mail-Teams können außerdem Fälle untersuchen, in denen SPF erfolgreich ist, DMARC jedoch fehlschlägt, weil der sichtbare Absender nicht mit der authentifizierten Domain übereinstimmt. Bei dieser Kampagne ermöglichte eine Richtlinie, die nur auf Überwachung ausgelegt war, trotz des Fehlers die Zustellung gefälschter Nachrichten. Es ist daher unmittelbar relevant, die Richtlinie und ihre Auswirkungen im Betrieb zu überprüfen.

Der zitierte Bericht nennt keine Patches, geprüften Anweisungen zur Eindämmung, Erkennungsregeln, Datei-Hashes, IP-Adressen, Domains oder andere gängige Infrastrukturindikatoren. Diese Einschränkung bezieht sich auf das hier beschriebene Material und belegt nicht, dass Talos, Microsoft oder andere Anbieter keine weiteren Informationen veröffentlicht haben.

Ein formaler Schweregrad wurde nicht angegeben. Es handelt sich auch nicht um eine softwarebezogene Schwachstelle mit CVE und verfügbarem Hersteller-Patch. Die beschriebene Bedrohung kombiniert Phishing, vertrauenswürdige Cloud-Plattformen, mehrstufige Ausführung und den Missbrauch legitimer Microsoft-365-Funktionen.