С сентября 2025 года по июль 2026 года не менее 350 устройств в восьми странах Азии попали под целевые атаки, которые отслеживают под обозначением UAT-11587. Целями становились оборонные ведомства, аппараты центральных правительств, дипломатические службы, органы юстиции и пограничного контроля, парламенты, государственные ИТ-службы, университеты, аналитические центры и правозащитные организации. География охватывает Тайвань, Индию, Филиппины, Камбоджу, Пакистан, Таиланд, Мьянму и Сирию. Для скрытого доступа к заражённым машинам применялась ранее не документированная программа, которую в служебных файлах разработки называют Antino.
Описание
Первые следы активности относятся к сентябрю 2025 года. Тогда рассылки строились вокруг филиппинской повестки и обычных вложений в письмах. В январе 2026 года добавились вложения, запускавшие сценарии на стороне получателя, и поддельные установщики. Резкий рост пришёлся на март и начало июня: операции против Филиппин и Тайваня шли с небольшим интервалом, затем последовали Камбоджа, Мьянма, Сирия, Пакистан и Таиланд. Самая крупная волна пришлась на 8 и 9 июня, когда обнаружили около 57 новых устройств, связанных с Индией. Точкой отсчёта для расследования стала мартовская фишинговая рассылка против тайваньского академического сообщества, аналитических центров и организаций гражданского общества.
Исследование Cisco Talos показало, что злоумышленники подделывали отправителя, чтобы письма выглядели убедительнее. Они пользовались расхождением между техническим адресом отправителя и тем, который видит получатель. Проверки подлинности домена в одном из разобранных случаев прошли успешно, а проверки согласованности адресов завершились неудачей. Политика домена предписывала лишь наблюдение вместо блокировки, поэтому почтовый провайдер принял сообщение и подделка дошла до входящих. Второй приём - точная копия карточки вложения Gmail внутри письма. Человек видел привычный значок загрузки файла и нажимал на него, хотя за ним стояла чужая страница.
Дальше срабатывала последовательность из пяти шагов. После перехода по ссылке на компьютер попадал сценарий, который открывал окно в скрытом виде и незаметно обращался к внешнему серверу, фиксируя, кто именно запустил файл. Следующий этап загружал зашифрованные компоненты и собирал их в памяти, не сохраняя на диск. Затем промежуточный модуль подбирал обманный документ под конкретную жертву и открывал его на экране. Пока человек читал текст, в систему попадала основная программа. Последний шаг опирался на легитимную цифровую подпись Microsoft: злоумышленники подкладывали свою библиотеку рядом с подписанным системным файлом, и тот запускал её как свою.
Итоговая нагрузка, Antino, написана на языке Rust и встречается в 32- и 64-разрядных сборках. Программа собирает сведения о компьютере и учётных записях, выполняет команды в системной оболочке и PowerShell (встроенная среда автоматизации Windows), перечисляет каталоги, передаёт файлы в обе стороны, запускает чужой код прямо в памяти и закрепляется в системе через автозагрузку. Название появилось из служебных артефактов: имена проекта повторяются в путях сборки и файлах описания. Часть сборок подготовили на облачных сборочных площадках, поэтому привязать их к конкретному рабочему месту трудно.
Отдельного внимания заслуживает канал управления. Antino не обращается к выделенному серверу, а общается через сервисы Microsoft 365 - почтовый ящик Outlook и облачное хранилище OneDrive. Команды приходят письмами с заданным префиксом темы, результаты уходят ответными сообщениями, а отметки о состоянии машины раз в минуту выгружаются небольшими файлами в отдельную папку. Часть папок отведена под инструменты, которые оператор передаёт на заражённый компьютер, часть - под данные, которые он с него забирает. Сетевые соединения уходят на широко доверенные адреса Microsoft, поэтому в корпоративной сети такой трафик почти не отличается от обычной синхронизации почты и документов.
Маскировку усиливало ещё несколько приёмов. Перед паузой в работе программа временно делала участок памяти неисполняемым и шифровала его содержимое. Такой трюк сокращает время, в течение которого средства поиска вредоносного кода в памяти могут опознать знакомые шаблоны. Для запуска сторонних сценариев и закрепления в системе Antino использовала штатный механизм диагностики Windows: вредоносный код выполнялся внутри подписанного системного процесса, и привязка действий к самой программе усложнялась.
Совпадения с активностью, которую другая команда описала как Jewelbug, в Cisco Talos подтвердили лишь частично. Пересечение ограничилось уровнем доставки, а базовые программы и схемы управления различались. Принадлежность UAT-11587 к китайской инфраструктуре в компании оценивают как высокую. На это указывают китайские языковые метки и восьмой часовой пояс в служебных данных обманных документов, тематика приманок вокруг политики и обороны, а также опора на внутреннее зеркало пакетов для разработки.
Для организаций из групп риска вывод практический. Рассылку с политической и дипломатической повесткой проверяйте по независимым каналам, а не по внешнему виду письма. Настройки почтовой защиты переводите из режима наблюдения в режим блокировки несоответствий между адресами отправителя. Доступ к облачным сервисам Microsoft 365 ограничьте строгими политиками условного доступа. Приложения, получившие права на почту и файлы без деловой необходимости, отзывайте сразу. Контроль входов и обращений к ящикам и хранилищам вне обычного рабочего графика помогает заметить активность на раннем этапе.
Индикаторы компрометации
