Hackers ligados à China comprometem sistemas na Ásia com novo backdoor Antino

O Antino backdoor é um novo player na arena das ameaças persistentes avançadas (APTs) ligado à China. Desenvolvido em Rust para sistemas Windows, ele comprometeu cerca de 350 endpoints em oito países asiáticos, atingindo alvos estratégicos como agências governamentais, defesa e organizações acadêmicas. O UAT-11587, nome dado pela Cisco Talos ao cluster de atividade, usa táticas de phishing altamente adaptadas, como e-mails que simulam a interface de pré-visualização de anexos do Gmail.

A parte mais inovadora do Antino está em como ele estabelece sua comunicação de comando e controle (C2). Em vez de servidores C2 tradicionais, o malware usa chamadas de API do Microsoft Graph, interagindo exclusivamente com contas Outlook e OneDrive controladas pelos atacantes. Isso permite que o tráfego malicioso se misture à atividade legítima do Microsoft 365, dificultando a detecção por firewalls e sistemas de segurança de rede. A campanha noticiada em 20 de maio de 2026 pelo CEVIU News já apontava para o abuso de serviços como Cloudflare R2 para exfiltração de dados, uma tática que o Antino também adota, utilizando Cloudflare Pages e R2 para a entrega inicial de payloads. Além disso, os atacantes evitam a detecção usando um binário assinado legítimo da Microsoft, GatherOsState.exe, para carregar a DLL maliciosa slc.dll, que contém o Antino.

A estratégia dos grupos ligados à China mostra uma evolução clara na discrição e na evasão. A notícia atual, com o Antino, demonstra que eles estão refinando a forma como operam, especialmente na comunicação C2 e na entrega de payloads. Enquanto reportagens anteriores do CEVIU, como a de 20 de maio de 2026, já destacavam o abuso de serviços de nuvem como Cloudflare R2 por hackers apoiados por governos, o Antino agora o eleva ao utilizar o Microsoft Graph API. Este novo método de C2 sobre um serviço tão onipresente é uma mudança significativa, tornando a detecção por monitoramento de rede muito mais desafiadora. O backdoor não só replica táticas de phishing já conhecidas, como as de grupos como o Silver Dragon (5 de março de 2026), mas também as integra a mecanismos de evasão sofisticados, como o sideloading de DLLs em binários assinados.

A sofisticação do Antino e a persistência do grupo UAT-11587 sublinham um desafio crescente para a cibersegurança. O uso de Microsoft Graph API para C2 representa uma séria ameaça, pois o tráfego se torna indistinguível da comunicação normal do Microsoft 365, tornando as abordagens de segurança de rede tradicionais menos eficazes. Para as organizações, isso significa que focar apenas na defesa de perímetro não é mais suficiente.

A exploração de binários legítimos e a utilização de infraestruturas de nuvem populares, como Cloudflare e Microsoft 365, demonstram a adaptabilidade desses atacantes. Eles buscam novas formas de operar debaixo do radar, exigindo que as defesas sejam igualmente inovadoras. As empresas precisam investir em detecção e resposta em endpoints (EDR), monitoramento de atividades dentro de ambientes Microsoft 365 (via logs do Entra ID e Graph API), e treinamento constante dos funcionários para identificar phishing.