Backdoor Antino usa Outlook e OneDrive para espionagem

Uma nova campanha de espionagem cibernética está usando serviços legítimos da Microsoft para controlar malware. O backdoor Antino, descoberto pela Cisco Talos, abusa do Outlook e do OneDrive para se comunicar com os atacantes. O alvo? Governos e organizações políticas em toda a Ásia. Mas o perigo não para por aí.

O que é o backdoor Antino?

O Antino é um malware sofisticado, escrito em Rust, que se disfarça dentro de processos legítimos do Windows. Ele foi projetado para espionagem: coleta informações do sistema, executa comandos e rouba arquivos. O mais assustador? Ele não usa servidores próprios para se comunicar.

Em vez disso, o malware se esconde em serviços de nuvem confiáveis. Ele usa o Outlook para receber comandos e o OneDrive para enviar dados roubados. Isso torna a detecção extremamente difícil, pois o tráfego parece normal.

Segundo a análise da Cisco Talos, o ator por trás dessa campanha é o UAT-11587, um grupo com fortes ligações com a China. Eles miram em alvos específicos: organizações governamentais, think tanks e instituições políticas em Taiwan, Índia, Filipinas, Camboja, Paquistão, Tailândia e Mianmar.

Como o ataque começa?

O vetor inicial é o velho conhecido: phishing. Mas com um toque de engenharia social refinada. Os criminosos criam e-mails que imitam perfeitamente a interface do Gmail, incluindo um widget de anexo falso. A vítima clica no anexo, pensando que é legítimo, e o malware é baixado.

Esse tipo de ataque está ficando cada vez mais comum. Recentemente, falamos sobre um golpe de phishing 3 em 1 que engana até antivírus. A lição é clara: não confie em anexos, mesmo que pareçam vir de fontes confiáveis.

Após o clique, o malware passa por cinco estágios para se instalar. Ele usa técnicas avançadas para evitar detecção, como carregar bibliotecas legítimas da Microsoft. Uma vez ativo, o Antino começa a se comunicar com o Outlook e o OneDrive.

Por que usar Outlook e OneDrive é perigoso?

Normalmente, malwares usam servidores próprios, que podem ser bloqueados ou derrubados. Mas quando o malware usa serviços legítimos, ele se mistura ao tráfego normal. Ninguém suspeita de uma conexão com o Outlook, certo?

O Antino verifica a caixa de entrada do Outlook a cada 10 segundos, procurando por mensagens com um prefixo específico. Essas mensagens contêm comandos do atacante. Os dados roubados são enviados para o OneDrive, como se fossem arquivos comuns.

Isso torna a atribuição e a defesa muito mais difíceis. As equipes de segurança precisam monitorar o uso anormal desses serviços, o que é um desafio em grandes organizações.

Quem está por trás disso?

A Cisco Talos atribui a campanha ao grupo UAT-11587, que tem sobreposição com outros grupos chineses, como o Jewelbug. No entanto, a Talos não encontrou evidências de motivação financeira. O foco é claramente espionagem política e estratégica.

Os alvos incluem entidades governamentais e de política externa. Os invasores realizam reconhecimento extensivo antes de enviar os e-mails de phishing. Eles personalizam o conteúdo para aumentar a chance de sucesso. Isso mostra um nível de sofisticação preocupante.

Além disso, os arquivos de isca contêm metadados em chinês simplificado e fuso horário UTC+8, reforçando a origem. A campanha também usou um domínio CloudFront previamente associado a outro grupo chinês, o UNC6384.

O que você pode fazer para se proteger?

Embora o alvo principal sejam governos, as técnicas usadas podem ser adaptadas para atacar empresas e indivíduos. Aqui estão algumas medidas práticas:

• Desconfie de anexos inesperados, mesmo que pareçam vir de contatos conhecidos.
• Verifique o remetente real do e-mail, não apenas o nome exibido.
• Use autenticação de dois fatores em todas as contas, especialmente e-mail e armazenamento em nuvem.
• Monitore atividades suspeitas em suas contas do Outlook e OneDrive.
• Mantenha o software atualizado e use soluções de segurança confiáveis.

Além disso, se você usa um notebook ou computador da empresa, redobre a atenção. Em caso de roubo ou furto, os dados podem ser acessados se não estiverem criptografados. Um dispositivo perdido pode se tornar uma porta de entrada para espionagem, especialmente se o invasor tiver acesso físico.

Se o seu notebook for roubado, aja rápido: altere todas as senhas, revogue sessões ativas e monitore suas contas. A exposição de dados em hotéis já mostrou como informações vazadas podem levar a golpes financeiros. Não subestime o risco.

Impacto global e o que esperar

A campanha do Antino não se limita à Ásia. Há evidências de ataques na Síria em maio de 2026. Isso indica que o grupo está expandindo suas operações. Ataques de espionagem cibernética estão se tornando mais comuns e mais difíceis de detectar.

O uso de serviços legítimos para comando e controle é uma tendência preocupante. Isso exige novas abordagens de defesa, como análise comportamental e monitoramento de tráfego de rede para padrões anômalos.

Para indivíduos e empresas, a melhor defesa é a prevenção. Eduque sua equipe sobre phishing, implemente políticas de segurança robustas e monitore proativamente suas contas e dispositivos.

Comparação: Antino vs. Malware Tradicional

Perguntas frequentes

O Antino pode afetar usuários comuns?

Embora o alvo atual sejam governos, as técnicas podem ser reutilizadas. Usuários comuns devem se proteger contra phishing e manter boas práticas de segurança.

Como saber se fui infectado pelo Antino?

É difícil detectar manualmente. Fique atento a atividades suspeitas em suas contas do Outlook e OneDrive, como mensagens não lidas ou arquivos desconhecidos. Use ferramentas de segurança e monitore regularmente.

O que fazer se meu notebook for roubado e eu suspeitar de espionagem?

Altere imediatamente todas as senhas, ative a autenticação de dois fatores, revogue sessões ativas e monitore suas contas. Considere usar um serviço de monitoramento de identidade para detectar usos indevidos de seus dados.

Como a Kzarka pode ajudar na proteção contra esses ataques?

A Kzarka oferece monitoramento contínuo de vazamentos de dados e alertas em tempo real. Se suas informações aparecerem em fóruns clandestinos, você será notificado imediatamente. Visite https://kzarka.com para verificar se seus dados já foram expostos e assumir o controle da sua identidade digital.