Cisco Talos hat eine China-nexus-Kampagne dokumentiert, die seit September 2025 aktiv ist und deren bisherige Welle am 2. Oktober 2026 über The Hacker News öffentlich wurde. Der Clou: Die Backdoor Antino kommuniziert nicht mit einem klassischen C2-Server, sondern ausschließlich über Microsoft 365 – Outlook für Befehle, OneDrive für Datei- und Statusverkehr. Talos selbst führt die Aktivität unter der Kennung UAT-11587 und ordnet sie mit hoher Konfidenz einem China-nexus-Akteur zu.

Für einen Betrieb mit 20 oder 80 Mitarbeitern, der Microsoft 365 als Standard-Workspace nutzt, ist die Botschaft weniger die geografische – die dokumentierten Ziele liegen in Taiwan, Indien, den Philippinen, Kambodscha, Pakistan, Thailand, Myanmar und Syrien – als die technische: Wer Outlook und OneDrive betreibt, betreibt auch die Infrastruktur, die Antino als Transportweg missbraucht. Die Kampagne traf laut Talos rund 350 Endpunkte in mindestens 16 Organisationen. Aber das Vorgehen – Spear-Phishing, DLL-Sideloading, C2 über legitime Cloud-APIs – ist nicht an asiatische Regierungen gebunden. Ein Mittelständler, der keine DMARC-Policy mit p=reject fährt und HTA-Dateien nicht am Mailgateway blockiert, bietet dieselbe Angriffsfläche.

Technisch: Wie Antino sich in Microsoft 365 einnistet

Antino ist eine in Rust kompilierte Windows-Backdoor, die als DLL oder EXE ausgeliefert wird und Host-Reconnaissance, Shell- und PowerShell-Ausführung, Dateiübertragung, In-Memory-Shellcode-Loading und Persistenz unterstützt. Der C2-Kanal läuft ausschließlich über die Microsoft Graph API: Die Implantation holt Befehle aus einem Outlook-Postfachordner alle 10 Sekunden, indem sie nach Nachrichten mit dem Betreff-Präfix command_req_[session_id] sucht. OneDrive übernimmt Heartbeat und Dateiübertragung – laut Rescana in einem Minutentakt. Alle C2-Pakete sind verschlüsselt und mischen sich in den regulären Microsoft-365-Verkehr ein.

Die Infektionskette hat fünf Stufen: Eine Spear-Phishing-Mail (versendet über den E-Mail-Provider Migadu mit der Envelope-Sender-Domain osc-cdn[.]com) verlinkt auf eine Cloudflare-Pages-URL, die eine HTA- oder WSF-Datei auslöst. Diese lädt einen JavaScript-Downloader, der über eine unsichere BinaryFormatter-Deserialisierung die Assembly TestAssembly.dll in den Speicher bringt. TestAssembly öffnet das Köderdokument, lädt eine Decoy-Calculator-Anwendung und startet schließlich die eigentliche Backdoor slc.dll per DLL-Sideloading über die Microsoft-signierte Binärdatei GatherOsState.exe. Persistenz sichert Antino über einen HKCU-Run-Registry-Schlüssel und Dateien unter %LOCALAPPDATA%\Windows GatherOSStateKit\. PowerShell wird über sdiagnhost.exe (Windows Scripted Diagnostics) ausgeführt, was die Attributierung erschwert, aber – wie Talos anmerkt – beobachtbare Telemetrie nicht eliminiert.

Zur Attributierung: Zehn verschiedene Antino-Builds enthalten Cargo-Registry-Pfade, die auf rsproxy.cn verweisen, einen Rust-Package-Mirror für Mainland China. Ein zugehöriger JavaScript-Downloader referenziert die CloudFront-Domain d32tpl7xt7175h.cloudfront[.]net, die Talos in Verbindung mit der UNC6384-Kampagne (gemeldet durch Arctic Wolf) sieht. Die Köderdokumente tragen das zh-CN-Language-Tag, den Autor-Wert 未定义 und einen +08:00-Zeitstempel. Talos betont, dass UTC+8 allein nicht ausreicht – erst die Kombination mit den Simplified-Chinese-Metadaten und der Lure-Auswahl spreche für ein Mainland-China-Umfeld. Eine Verbindung zur von Symantec und Carbon Black im August 2026 beschriebenen Jewelbug-Gruppe konnte Talos nicht unabhängig verifizieren und führt UAT-11587 daher als eigenständigen Cluster.

Was jetzt zu tun ist

1. Microsoft-365-Audit-Logs prüfen: In der Compliance-Center-Übersicht (Exchange- und OneDrive-Logs) nach periodischem Postfachzugriff in 10-Sekunden-Intervallen und nach OneDrive-Dateioperationen suchen, die nicht zu bekannten Benutzersitzungen passen. Besonders auffällig: Zugriffe auf Ordner, die kein menschlicher Nutzer anlegt, und Heartbeat-Muster außerhalb der Geschäftszeiten.
2. Endpoint-Logs durchgehen: In den EDR- oder Windows-Event-Logs nach sdiagnhost.exe, das PowerShell-Prozesse spawnt, nach GatherOsState.exe, das aus User-schreibbaren Verzeichnissen startet, und nach Registry-Einträgen unter HKCU\Software\Microsoft\Windows\CurrentVersion\Run sowie Dateien unter %LOCALAPPDATA%\Windows GatherOSStateKit\. Auch HTA- und WSF-Ausführung, die auf Cloudflare- oder CloudFront-URLs zeigt, ist ein Warnsignal.
3. E-Mail-Sicherheit nachziehen: DMARC-Policy auf p=reject setzen (nicht p=none, das erlaubt nur Monitoring), SPF-Alignment zwischen Envelope- und Visible-Sender-Domain erzwingen, und HTA-, WSF- sowie Base64-encodierte MIME-Anhänge am Mailgateway blockieren oder in Quarantäne legen. Die Kampagne hat DMARC-Failures gezielt ausgenutzt, weil die Zieldomains p=none fuhren.

Das Ärgernis an dieser Taktik: Sie braucht keinen fremden Server, keine verdächtige IP, keine Firewall-Regel, die man blockieren könnte. Sie braucht nur das, was man ohnehin schon im Haus hat – ein Postfach und einen Cloud-Speicher. Wer jetzt unsicher ist, ob die eigenen Exchange- und OneDrive-Logs solche Muster zeigen, kann uns einmal die Aktivitätsdaten der letzten 90 Tage durchsehen lassen. Hier geht es zur Kontaktaufnahme.

Beitragsbild: Burst auf Pexels