Antino backdoor via Outlook en OneDrive uitgelegd

Een nieuwe espionagecampagne richt zich op overheids- en beleidsorganisaties in meerdere landen in Azië en mogelijk daarbuiten. De kern van de dreiging is een tot nu toe onbekende malwarefamilie die in de berichtgeving wordt aangeduid als de Antino backdoor. Volgens onderzoekers wordt die backdoor speciaal ingericht om command-and-control (C2) te laten verlopen via Microsoft 365, met gebruik van Outlook en OneDrive.

Wat dit dreigingsbeeld extra relevant maakt voor securityteams: de communicatie lijkt niet te leunen op een opvallende ‘eigen’ C2-server, maar op legitieme Microsoft-onderdelen. Daardoor kunnen detectie en attributie complexer worden, terwijl de aanval zich wél laat herleiden tot menselijk gedrag, documentketens en telemetrie van Windows-activiteiten.

Wie is de tegenstander en waar richt Antino zich op?

Talos koppelt de activiteit aan een China-nexus dreigingsacteur met hoge confidence. De campagne werd voor het eerst gesignaleerd in september 2025, toen spear-phishing werd ingezet tegen de academische, think tank- en civil society beleidscommunity in Taiwan. Daarna breidde het patroon zich uit: aanvallen werden gelinkt aan zestien entiteiten in acht Aziatische landen, waaronder India, de Filipijnen, Cambodja, Pakistan, Thailand en Myanmar.

Daarnaast wijzen indicatoren erop dat UAT-11587 (de clusternaam waaronder Talos de activiteit volgt) ook later doelen in Syrië heeft benaderd, rond mei 2026. In de periode maart tot en met begin juni 2026 zouden aanvallen met enige regelmaat toenemen, met een ‘concentrated wave’ op 8 en 9 juni 2026 waarbij tientallen systemen gekoppeld aan overheids-IT-infrastructuur betrokken waren.

Antino backdoor: wat kan het malwarepakket?

De Antino backdoor is een Rust-compiled Windows backdoor. De functionaliteit die onderzoekers benoemen, omvat o.a. host-reconnaissance, shell- en PowerShell-uitvoering, bestandsverplaatsing en het laden van in-memory shellcode. Ook persistence behoort tot de mogelijkheden.

Een belangrijk onderscheid zit in de manier waarop C2 wordt uitgevoerd. In plaats van een apart communicatiekanaal gebruikt de backdoor native Microsoft 365-integraties. De native command-and-control verloopt uitsluitend via Microsoft 365, waarbij Microsoft Graph wordt ingezet om met Outlook en OneDrive te communiceren.

Overlappende tactieken en een aparte classificatie

UAT-11587 zou op onderdelen overlappen met een cluster dat in de berichtgeving ‘Jewelbug’ wordt genoemd. Jewelbug wordt door een rapport (Symantec/Carbon Black, augustus 2026) beschreven als een China-gebaseerde “hackers-for-hire” groep die zowel spionage uitvoert als (volgens datzelfde rapport) ook financieel gemotiveerde crypto-fraude. Talos geeft aan dat het eigen onderzoek geen directe link kon bevestigen tussen de spionagecampagne en de financieel gedreven activiteiten van Jewelbug. Daarom is UAT-11587 als een aparte activiteitenset geclassificeerd.

Waarom Outlook en OneDrive als C2 werken

Talos beschrijft dat Antino commando’s ophaalt uit een mailboxmap op basis van een vast onderwerpspatroon. De backdoor kijkt elke 10 seconden in de Outlook-mailfolder voor berichten met een subject prefix van command_req_[session_id]. Hartslag en bestandsverkeer lopen vervolgens via OneDrive.

Met andere woorden: Outlook fungeert als kanaal voor commando-uitwisseling, terwijl OneDrive wordt gebruikt als opslag- en doorstuurpunt voor data. Daardoor kan de malware zich gedragen alsof het slechts met ‘normale’ SaaS-functionaliteit bezig is, terwijl het technisch gezien een C2-mechanisme blijft.

Detectie wordt lastiger, maar niet onmogelijk

Onderzoekers geven aan dat Antino gebruikmaakt van het Windows Scripted Diagnostics framework om met PowerShell aanvallen uit te voeren via legitieme Windows-componenten. Dit kan gedragsgebaseerde attributie bemoeilijken, omdat de uitvoering deels “onder de motorkap” via componenten verloopt die normaal voor diagnose worden gebruikt.

Tegelijk benadrukt Talos dat observeerbare sporen wel zichtbaar blijven, bijvoorbeeld rond PowerShell-acties, bestandscreatie en registry-telemetrie. Met andere woorden: ook al is het pad ‘legitimer’, je kunt het nog steeds terugvinden in endpoint- en loggingdata.

Van spear-phishing tot Antino: de vijf-stappen aanvalsketen

De aanvalketen die Talos beschrijft bestaat uit vijf fasen. Die start bij een HTA of WSF stager en eindigt met de uiteindelijke uitrol van de Antino backdoor.

In grote lijnen ziet het proces er als volgt uit:

1. De phishinglink levert een HTA of WSF-bestand op dat wordt uitgevoerd om een JavaScript downloader en decryptor op te halen.
2. Daarna wordt een .NET deserialisatieketen getriggerd die het bestand TestAssembly.dll laadt, een .NET downloader en launcher.
3. De loader voert vervolgens drie concrete acties uit: het openen van het lokaasdocument bij de slachtofferkant, het ophalen van een decoy Calculator executable en het downloaden/launch-en van de Antino backdoor.
4. De implant (slc.dll) wordt gestart via DLL sideloading met een legitiem, Microsoft-signed bestand: GatherOsState.exe.
5. Na het opstarten gaat Antino aan de slag met uitvoeringstaken en het ophalen/verwerken van commando’s via Outlook en OneDrive.

Deze keten toont hoe belangrijk het is om niet alleen naar de “eindpayload” te kijken, maar ook naar de tussenstappen: stagers, downloaders en de scripts die het pad vormen naar Antino.

Opvallende phishing-tactieken en social engineering

De keuze voor spear-phishing als initiële toegang is voor dit type campagne niet verrassend. Wat wél opvalt, is het soort lokaas (lures) en de mate van voorbereiding. Talos geeft aan dat de inhoud en selectie van doelgroepen consistent zijn met thema’s rond buitenlands beleid, internationale veiligheid en overheidsbeleid. De targets omvatten o.a. onderwerpen rond politieke en wetgevende onderwerpen, civiele defensie en policy research, plus regionale belangen zoals maritieme en diplomatieke thema’s.

Volgens onderzoekers lijkt de actor uitgebreid reconnaissance te hebben gedaan om de e-mailinhoud te kunnen afstemmen en de kans op succesvolle uitvoering te verhogen.

Bypass van SPF/DMARC

Om de kans te vergroten dat de mail in de inbox landt, zouden sender-identiteiten worden gespoofd die door ontvangers als vertrouwd konden worden beschouwd. Dit moet SPF- en DMARC-checks helpen omzeilen.

Daarnaast beschrijft Talos een opvallende techniek: het e-mail HTML bevat een nagebootste weergave van een bijlage-preview widget, zoals Gmail die in de interface toont. De imitatie gebruikt vier inline PNG-afbeeldingen die als Base64-gecodeerde MIME parts in de HTML worden ingesloten. Door deze ‘fake attachment card’ kunnen slachtoffers bij het openen in een browser een overtuigende interface zien, terwijl de link achter het uiterlijk naar een aanvaller-URL verwijst.

In de beschrijving wordt ook genoemd dat het bijlageblok werd omhuld door een anchor tag naar een aanvaller-gedomineerde Cloudflare Pages URL. Dat maakt de weergave in de browser opvallend geloofwaardig, omdat Gmail’s renderer de aangepaste HTML dan op een manier toont die visueel dicht bij het echte component komt.

Technische aanwijzingen voor China-nexus

Talos benoemt meerdere aanwijzingen die richting een China-nexus duiden. Een daarvan is taalkundig: in lokaasdocumenten werd zh-CN-taal aangetroffen en metadata in vereenvoudigd Chinees. Ook speelt de tijdzone in de spear-phishing message header een rol: UTC+08:00.

Verder worden twee concrete indicatorreeksen aangehaald:

• In bijna een dozijn verschillende build-outputs van Antino worden Cargo registry paths genoemd die verwijzen naar rsproxy[.]cn, een binnenlandse mirror/proxy voor crates.io voor de Chinese markt.
• Een JavaScript downloader gerelateerd aan UAT-11587 verwijst naar d32tpl7xt7175h.cloudfront[.]net. Dat CloudFront-domein was eerder door Arctic Wolf gerelateerd aan een campagne van een China-affiliatie (UNC6384) tegen Europese diplomatieke en overheidsentiteiten, gebruikmakend van een onpatched Windows shortcut vulnerability.

Wat kunt u nu doen? Praktische aandachtspunten voor teams

Als uw organisatie Microsoft 365 gebruikt, is de belangrijkste les: beschouw Outlook en OneDrive niet automatisch als ‘veilig’ vanuit een incidentrespons- of threat hunting perspectief. Binnen een aanval kunnen die diensten immers fungeren als kanaal voor commando’s of data-uitwisseling.

Concreet zijn er enkele insteken die in elk geval passen bij het beschreven dreigingsbeeld:

• Versterk logging rond PowerShell: let op PowerShell-activiteit die wordt aangeroepen via Windows Scripted Diagnostics of in afwijkende contexten.
• Monitor file- en registry-telemetrie: omdat de actor DLL sideloading en tussenstappen gebruikt, kunt u zoeken naar verdacht gedrag rond het starten van legitieme binaries en veranderingen in het systeem.
• Doe threat hunting op Office/Microsoft 365 patronen: kijk naar ongebruikelijke interacties met mailbox-mappen (zoals commandoverzoeken met subject prefix-achtige patronen) en naar OneDrive-gedrag dat past bij ‘heartbeat’ of file transfer.
• Beoordeel phishing-weergave en bijlagenketens: ook wanneer de e-mail interface ‘normaal’ oogt (fake attachment previews), kan de download en uitvoering van HTA/WSF of de daaropvolgende scriptketen verdacht zijn.

Conclusie

De Antino backdoor laat zien hoe geavanceerd moderne spionagecampagnes C2 kunnen verbergen door gebruik te maken van legitieme cloud-ecosystemen. Waar een klassieke aanval vaak opvalt door een aparte C2-server, kiest deze actor voor Outlook en OneDrive als schuilplek en transportlaag.

Voor securityteams betekent dit vooral één ding: houd de endpoint- en datalogging leidend. Zelfs als commando-uitwisseling via Microsoft 365 loopt en PowerShell deels via “legitieme” Windows kaders wordt geactiveerd, blijven er sporen zichtbaar. Door die sporen te combineren met phishing- en procesketenanalyses, kunt u de dreiging beter herkennen en sneller stoppen.

Gerelateerd lezen: ontdek hoe AI-agents en invoerproblemen zoals SQL-injection ook in overheidssituaties risico’s vergroten via AI-agents en SQL-injection: risico’s voor overheid. Daarnaast kan de aanpak van ‘cloud delivery’ en misleiding helpen om phishingpatronen beter te herkennen, bijvoorbeeld bij iCloud spoofing en AI-phishing: weekoverzicht.

Bron: https://thehackernews.com/2026/10/antino-backdoor-uses-outlook-and.html