Cisco Talosは、アジア全域の政府機関や政策関連組織を標的とする中国系脅威アクター、UAT-11587に関連した11カ月に及ぶサイバースパイ活動を明らかにした。このグループは、これまで文書化されていなかったRustでコンパイルされたWindowsバックドア「Antino」を展開していた。Antinoはコマンド＆コントロール通信にMicrosoft 365を利用する。
2026年7月までにTalosは、少なくとも10件の確定した影響環境と5件の可能性が高い影響環境に加え、標的にする意図が確認された環境を1件特定した。調査では、8カ国で約350台のエンドポイントが侵害されていたことが判明した。
9月30日に公開されたCisco Talosの調査は、UAT-11587の活動を2025年9月から2026年7月まで追跡し、この攻撃者が中国系であると高い確度で評価している。
UAT-11587は8カ国の組織を標的に
Talosは、UAT-11587が台湾、インド、フィリピン、カンボジア、パキスタン、タイ、ミャンマー、シリアの組織を標的にしたと、中程度から高い確度で評価している。
標的には、防衛・国家安全保障機関、政府中枢機関、外交機関、法執行機関、立法機関、政府系ITサービス、大学、シンクタンク、市民社会団体などが含まれていた。
Talosがこのキャンペーンを初めて特定したのは3月で、台湾の学術界、シンクタンク、市民社会における政策コミュニティを狙った標的型フィッシングを調査していた時だった。初期の活動は2025年9月までさかのぼり、フィリピンをテーマにした誘い文句も含まれていた。
活動は3月から6月初旬にかけて加速した。最も集中した大規模な波は6月8日と9日に発生し、Talosはインドに関連する新たなエンドポイントを約57台確認した。
フィッシングの誘い文句は、地域の政治的・制度的関心に合わせて作られていた。一部のメールはGmailの添付ファイル用インターフェースを再現しており、回収されたおとり文書には、台湾政府の政策、インド太平洋情勢、海事問題、外交行事など、政府・政策関連の標的が関心を持ちそうな話題が記載されていた。
Cloudflareがマルウェアを配信し、Microsoft 365がC2を処理
UAT-11587は、広く利用されているクラウドプラットフォームにインフラを分散させていた。
Cloudflare Pagesには悪意のあるHTAファイルとWSFファイル、および実行追跡用エンドポイントがホストされていた。Cloudflare R2にはエンコードされたローダーの各段階、おとり文書、ペイロードの構成要素が保存され、Amazon CloudFrontは追加のスクリプトとおとり素材を配信していた。
ただし、Antinoがインストールされると、そのネイティブのコマンド＆コントロール通信チャネルはMicrosoft 365だけを介して動作した。
このバックドアはMicrosoft Graphを使ってOutlookおよびOneDriveと通信していた。OneDriveはインプラントの登録、ハートビート通信、ツールの配信、窃取ファイルの送信を処理し、OutlookはAntinoとコントローラーの間でコマンドと応答を運んでいた。
Talosの調査では、Antinoは攻撃者が管理するOutlookメールボックスを10秒ごとに確認して新しいコマンドを取得し、OneDriveには毎分ハートビートデータをアップロードできることが判明した。接続は企業環境で一般に許可されているMicrosoftドメインで終端されるため、ネットワーク層では他の信頼されたMicrosoftサービスと通信を見分けにくくなっていた。
Antinoの感染チェーンの仕組み
Talosは、標的型フィッシングから始まる、繰り返し確認された5段階の感染チェーンを記録した。
第1段階では、を通じて実行されるHTAファイルを送り込むmshta.exeか、Windows Script Hostを介して実行されるWSF形式を使用する。ステージャーはウィンドウを隠し、Cloudflare Pagesの追跡用エンドポイントに接続して、Cloudflare R2またはAmazon CloudFrontから次のJavaScript段階を取得する。
第2段階では、JavaScriptオーケストレーターと、シリアライズされた.NETガジェットリソース2つという、暗号化された3つのリソースをダウンロードする。独自のBase64デコードとRC4復号を適用した後、次の段階をメモリー上で起動する。
第3段階では、安全でない.NETBinaryFormatterデシリアライゼーションを悪用する。結果として生じるガジェットチェーンは、TestAssembly.dllという.NETアセンブリを、実行中のmshta.exeプロセス内に直接読み込む。
このダウンローダーは、誘い文句ごとに用意されたおとり文書と、3ファイル構成のペイロードを取得する。その後、GatherOsState.exeを起動する。これは正規のMicrosoft署名済みWindows Assessment and Deployment Kitバイナリだ。
最終段階ではDLLサイドローディングを使用する。悪意のあるslc.dllをGatherOsState.exeの隣に配置すると、信頼されたMicrosoftバイナリがDLLを読み込み、Antinoを起動する。
Antinoは永続化、シェルアクセス、ファイル窃取をサポート
Talosは、32ビット版と64ビット版の両方、およびスタンドアロン実行ファイル形式とDLL形式のAntinoを確認した。
サポートされるコマンドには、ホスト偵察、cmd.exeおよびPowerShellの実行、ディレクトリ一覧の取得、プログラム実行、ファイルのアップロードとダウンロード、メモリー上でのシェルコード実行、永続化、インプラントの終了などがある。
このバックドアは、HKCUのRunレジストリ値を利用して永続化を確立し、ファイルを%LOCALAPPDATA%\Windows GatherOSStateKit\.
一部のビルドは、セカンダリーペイロードが非アクティブな間にメモリースキャナーへ露出する、認識可能な悪意あるコードの量を減らすよう設計された、スリープ偽装技法もサポートしている。
Antinoはさらに、Windows Scripted Diagnosticsフレームワークを悪用し、正規のWindowsコンポーネントを介して攻撃者が制御するPowerShellを中継する。Talosは、この技法がプログラムの実行と永続化に関連するレジストリ変更の両方に使われていることを確認した。
防御側が監視すべきポイント
Talosは、このキャンペーンについて大量のハッシュ、悪意のあるドメイン、URL、ClamAVシグネチャ、Snortルールを公開した。
エンドポイント担当チームは、感染チェーンの各段階をつなぐ以下の挙動もハンティングできる。
mshta.exeまたはWindows Script Hostが、予期しないCloudflare Pages、R2、CloudFrontの場所からリモートコンテンツを取得する動作。GatherOsState.exeが予期しないディレクトリやユーザーが書き込み可能なディレクトリから実行され、特にその隣にslc.dllファイルが存在する場合。- 通常とは異なる
sdiagnhost.exe活動に続いてPowerShellが実行されたり、HKCUのRunキーが変更されたりする動作。 - 疑わしいプロセスツリーが
graph.microsoft.comまたはlogin.microsoftonline.comと通信する動作。これらのドメインへの接続をすべて無害とみなしてはならない。 - エンドポイントの侵害指標やその他の疑わしい実行と相関するOneDriveおよびOutlookの活動。
Microsoft Graph自体は悪意のあるものではなく、正規のアプリケーションもこれに大きく依存している。最近、他の攻撃で確認されたMicrosoft Graphの活動は、Microsoftのサービスを一律にブロックするのではなく、クラウドトラフィックをエンドポイント、プロセス、ID、アプリケーションのコンテキストと相関させる必要性を改めて示している。
TalosがUAT-11587を中国系と関連付ける理由
Talosは、単一のアーティファクトではなく、複数の技術的・運用上の指標に基づき、UAT-11587が中国系の攻撃者であると高い確度で評価している。
研究者は、簡体字中国語のメタデータ、UTC+8の準備時刻のタイムスタンプ、Antinoのビルド成果物に中国に焦点を置くrsproxy.cnRustパッケージミラーへの繰り返しの参照を確認した。また、標的はアジア全域の政治、外交、国家安全保障、政策関連組織に大きく集中していた。
Talosは、過去に報告された中国系活動とのインフラの重複も特定したが、その特定の関連性については確度が低いと評価し、UAT-11587を別個の活動クラスターとして追跡し続けている。
この報告書は、UAT-11587を特定の中国政府機関に帰属させていない。Talosは別途、攻撃者が継続的に標的化と情報収集を行う能力は、情報収集を目的としていることを裏付けると中程度の確度で評価している。
Talosは2026年7月までキャンペーンの活動を確認したが、作戦がその時点で終了したとは報告書で断定していない。影響を受けた分野の組織は、公開された指標と挙動パターンを使い、情報公開に先立って発生していた可能性のあるAntinoの活動を遡ってハンティングできる。
関連記事： Googleは最近、中国系ハッカーが侵害したネットワーク内でAIモデルを実行し、被害者自身のクラウドインフラを利用していたことを発見した。