سازمان‌های دولتی و سیاست‌گذاری در سراسر آسیا هدف کمپین جدیدی قرار گرفته‌اند که توسط یک عامل تهدید (Threat Actor) مرتبط با چین سازمان‌دهی شده است. این فعالیت‌ها که کشورهای تایوان، هند، فیلیپین، کامبوج، پاکستان، تایلند و میانمار را هدف قرار داده، شامل استقرار یک Backdoor جدید و مستند نشده به نام Antino است.
تحلیل فنی بدافزار Antino
بدافزار Antino یک Backdoor کامپایل شده با زبان Rust برای سیستم‌عامل ویندوز است که قابلیت‌های زیر را پشتیبانی می‌کند:
- شناسایی میزبان (Host Reconnaissance)
- اجرای Shell و PowerShell
- انتقال فایل و بارگذاری Shellcode در حافظه (In-memory)
- ایجاد تداوم در سیستم (Persistence)
مکانیزم فرمان و کنترل (C2) مبتنی بر Cloud
یکی از ویژگی‌های متمایز این بدافزار، استفاده از سرویس‌های Microsoft 365 برای کانال C2 است. Antino به جای استفاده از سرورهای اختصاصی که به راحتی شناسایی می‌شوند، از Microsoft Graph برای تعامل با Outlook و OneDrive استفاده می‌کند:
- Outlook: برای تبادل دستورات استفاده می‌شود. بدافزار هر ۱۰ ثانیه پوشه mailbox مهاجم را برای یافتن پیام‌هایی با پیشوند
command_req_[session_id]بررسی می‌کند. - OneDrive: برای ارسال Heartbeat و انتقال فایل‌ها به کار می‌رود.
بردار حمله و تکنیک‌های مهندسی اجتماعی
دسترسی اولیه از طریق کمپین‌های Spear-phishing با دقت بالا صورت گرفته است. مهاجمان برای افزایش نرخ موفقیت، از تکنیک‌های زیر استفاده کرده‌اند:
- جعل هویت (Spoofing): جعل شناسه‌های فرستنده برای دور زدن مکانیزم‌های امنیتی SPF و DMARC.
- شبیه‌سازی رابط کاربری: بازسازی دقیق ویجت پیش‌نمایش پیوست‌های Gmail در بدنه HTML ایمیل با استفاده از تصاویر Base64، تا کاربر را فریب داده و روی لینک‌های کنترل شده توسط مهاجم (میزبانی شده در Cloudflare Pages) کلیک کند.
زنجیره حمله (Attack Chain)
این حمله در پنج مرحله اجرا می‌شود: ابتدا یک فایل HTA یا WSF دانلود شده که منجر به اجرای یک Downloader JavaScript می‌شود. سپس از طریق یک زنجیره .NET Deserialization، فایل TestAssembly.dll بارگذاری می‌گردد. در نهایت، ایمپلنت اصلی (slc.dll) از طریق تکنیک DLL Sideloading با استفاده از یک فایل با امضای معتبر مایکروسافت (GatherOsState.exe) اجرا می‌شود.
این عامل تهدید همچنین از چارچوب Windows Scripted Diagnostics برای اجرای PowerShell از طریق اجزای قانونی ویندوز استفاده می‌کند تا تحلیل رفتاری (Behavioral Attribution) را برای تیم‌های SOC دشوارتر کند.
