Han desarrollado Antino, un backdoor de Windows que utiliza Microsoft 365 para todas sus comunicaciones de comando y control. Este malware emplea mensajes de Outlook y archivos de OneDrive para enviar instrucciones, extraer datos robados y mantener el acceso a los equipos comprometidos. La campaña comenzó en septiembre de 2025, centrándose en sectores gubernamentales, de defensa, diplomáticos y académicos.

Han creado una puerta trasera (backdoor) para Windows que utiliza Microsoft 365 para todas sus comunicaciones nativas de comando y control. Llamada Antino, el malware convierte los mensajes de Outlook y los archivos de OneDrive en canales para emitir instrucciones, mover datos robados y mantener el acceso a ordenadores comprometidos.

La campaña a gran escala comenzó en septiembre de 2025 y se dirigió a organizaciones gubernamentales, de defensa, diplomáticas, académicas y de políticas.

Los atacantes utilizaron correos electrónicos de phishing cuidadosamente diseñados, documentos convincentes e instaladores de software falsos para distribuir la puerta trasera, combinando interfaces familiares con servicios en la nube en los que las organizaciones confían habitualmente.

Investigadores de Cisco Talos identificaron la operación como UAT-11587 y evaluaron sus vínculos con China con un alto nivel de confianza.

Cisco Talos señaló en un informe que su investigación descubrió aproximadamente 350 puntos finales comprometidos en ocho países para julio de 2026.

Talos registró 10 entornos institucionales afectados confirmados y cinco probables, además de un objetivo previsto. Los países incluían Taiwán, India, Filipinas, Camboya, Pakistán, Tailandia, Myanmar y Siria.

Los hallazgos reflejan los riesgos más amplios de ataques que eluden las defensas del correo electrónico a través de plataformas familiares, aunque Talos evaluó esta campaña como una recopilación de inteligencia en lugar de una actividad motivada financieramente.

Crearon una puerta trasera para Windows

Antino está escrito en Rust y se presenta tanto en forma de ejecutable como de librería. Su canal de control nativo utiliza Microsoft Graph, la interfaz que las aplicaciones usan para acceder a los servicios de Microsoft.

Outlook transporta los comandos y las respuestas, mientras que OneDrive gestiona el registro, las actualizaciones de estado, los archivos robados y las herramientas enviadas por los atacantes.

Este enfoque sigue casos anteriores de hackers que abusan de los servicios en la nube para comunicaciones encubiertas, pero Antino sitúa todo su flujo de trabajo de control nativo dentro de Microsoft 365. La infraestructura de la nube utilizada para entregar el malware es independiente de los servicios que lo controlan tras la instalación.

La generación más reciente se autentica a través de una aplicación de Entra ID utilizando credenciales de aplicación almacenadas, sin requerir un inicio de sesión interactivo del usuario.

Revisa un buzón de Outlook controlado por el atacante cada 10 segundos, recupera instrucciones de los cuerpos de los mensajes y publica respuestas que permiten a los operadores asociar los resultados con tareas individuales.

OneDrive recibe un archivo de estado cada minuto que contiene el nombre del ordenador, el nombre de usuario, la plataforma, el identificador de sesión y el código de la campaña.

Carpetas separadas contienen los archivos robados de las víctimas y las herramientas entrantes. Estos intercambios permiten al operador controlar las máquinas infectadas sin exponer un servidor de comandos dedicado al monitoreo de la red.

La puerta trasera puede inspeccionar sistemas, ejecutar comandos de shell y PowerShell, transferir archivos, ejecutar programas y cargar código adicional directamente en la memoria.

Una función de ocultación opcional cifra una carga útil secundaria cargada mientras está inactiva, reduciendo su exposición a los escáneres de memoria sin ocultar todo el proceso Antino ni garantizar la evasión.

El phishing abre una infección por capas

Los correos electrónicos de phishing suplantaban la identidad de organizaciones confiables y recreaban la tarjeta de vista previa de adjuntos de Gmail. Al hacer clic en el adjunto aparente, se abría en su lugar un enlace de descarga controlado por el atacante.

Eventos políticos, tributación legislativa, disputas marítimas y administración gubernamental proporcionaron temas relevantes que hicieron que los mensajes fueran más persuasivos para sus destinatarios previstos.

En un mensaje revisado, la autenticación del remitente fue aprobada para el dominio de envío del atacante, pero el remitente visible no coincidía. DMARC detectó la discrepancia, pero una política de solo monitoreo permitió la entrega.

Esta distinción es importante porque una verificación de remitente exitosa no autenticó a la organización que los destinatarios creían que los había contactado.

Una cadena recurrente de cinco etapas utilizó componentes de scripting de Windows, JavaScript cifrado y procesamiento de objetos .NET no seguros para cargar un descargador en la memoria.

El descargador abría un documento señuelo y lanzaba un ejecutable firmado de Microsoft junto a la librería maliciosa, utilizando técnicas de ataque de DLL sideloading para iniciar Antino bajo un host confiable.

Talos basó su atribución en varias pistas, incluyendo la configuración de idioma de los documentos, artefactos de desarrollo y el objetivo de la campaña. También encontró coincidencias con la actividad reportada como Jewelbug, pero no pudo confirmar independientemente los vínculos con las operaciones financieras de ese grupo.

La infraestructura de entrega compartida sugirió otra posible conexión, aunque los investigadores calificaron esa relación con una confianza baja y mantuvieron un seguimiento separado.

Antino también abusó de los componentes de solución de problemas de Windows para ejecutar PowerShell y establecer persistencia en el inicio. Talos señaló que esto disfraza la ruta de ejecución, pero sigue dejando actividad de scripts observable, creación de archivos y cambios en el registro.

Su informe proporciona firmas de detección y reglas de red, brindando a los defensores una cobertura concreta junto con los indicadores verificados a continuación.

Fuentes:
https://cybersecuritynews.com/hackers-built-a-windows-backdoor/