Antino 백도어, 중국 연계 스파이 캠페인에서 아웃룩과 원드라이브를 C2로 악용

아시아 전역의 정부 및 정책 기관들이 중국과 연계된 위협 행위자가 조직한 새로운 캠페인의 표적이 되었다.

대만, 인도, 필리핀, 캄보디아, 파키스탄, 태국, 미얀마의 정부 및 정책 기관을 표적으로 삼은 이 활동은 이전에 문서화된 적 없는 백도어 'Antino'의 배포를 포함한다. Cisco Talos는 이 공격 그룹을 UAT-11587이라는 명칭으로 추적하고 있다.

이 위협 행위자는 대만의 학계, 싱크탱크, 시민사회 정책 커뮤니티를 겨냥한 스피어피싱 캠페인과 관련해 2025년 9월 처음 포착됐다. 이후 이 침투 세트와 연계된 공격은 아시아 8개국 16개 기관으로 확대됐다.

보안 연구원 Ashley Shen은 "Antino는 Rust로 컴파일된 윈도우 백도어로, 호스트 정찰, 셸 및 파워셸 실행, 파일 전송, 메모리 내 셸코드 로딩 및 지속성(persistence)을 지원한다"고 밝혔다. "이 백도어의 고유한 명령제어(C2) 채널은 오직 Microsoft 365를 통해서만 작동하며, Microsoft Graph를 사용해 아웃룩과 원드라이브와 상호작용한다."

UAT-11587은 Jewelbug와 어느 정도 겹치는 것으로 평가되는데, Jewelbug는 다시 중국과 연계된 공격 그룹인 CL-STA-0049, Earth Alux, Ink Dragon, REF7707과 전술적 유사성을 보인다. Broadcom 산하 Symantec과 Carbon Black이 2026년 8월 발표한 보고서는 Jewelbug를 스파이 활동과 영리 목적의 암호화폐 사기 사업을 함께 수행하는 중국 기반의 해킹 청부업자 그룹으로 규정했다.

그러나 Cisco Talos는 자체 조사 결과 이 스파이 캠페인과 Jewelbug의 금전적 동기 활동 사이의 연관성을 찾지 못했다며, UAT-11587을 별도의 활동 세트로 지정했다.

연관성을 명확히 입증하는 데 어려움이 있었음에도, 이 공격자는 유인 문서에 포함된 zh-CN 언어 및 중국어 간체 메타데이터, 그리고 스피어피싱 메시지 헤더의 UTC+08:00 시간대를 근거로 높은 신뢰도로 중국 연계로 분류됐다.

"캠페인의 유인 주제와 표적 선정이 추가적인 맥락적 근거를 제공한다"고 Talos는 밝혔다. "유인 문서와 관찰된 표적에는 대만의 정치, 입법, 민방위, 정책 연구 주제와 더불어 지역 정부, 해양, 외교, 안보 테마가 포함된다. 이러한 수집 초점은 중국 연계 행위자의 관심사와 일치한다."

중국 연계를 가리키는 두 가지 추가 지표는 다음과 같다 -

• 거의 10여 개에 달하는 Antino 빌드 결과물에서 중국 본토용 crates.io 고속 미러 및 프록시 서비스인 rsproxy[.]cn을 참조하는 Cargo 레지스트리 경로가 발견됨
• UAT-11587과 연관된 자바스크립트 다운로더가 "d32tpl7xt7175h.cloudfront[.]net"을 참조하는데, 이는 작년 유럽 외교 및 정부 기관을 겨냥해 패치되지 않은 윈도우 바로가기 취약점을 이용한 캠페인을 수행한 중국 계열 위협 행위자 UNC6384와 관련해 Arctic Wolf가 이전에 식별한 CloudFront 도메인임

증거에 따르면 UAT-11587은 2026년 5월경 시리아의 기관들도 표적으로 삼은 것으로 나타나, 아시아를 넘어선 관심사를 보여준다. 이 위협 행위자가 수행한 공격은 2026년 3월부터 6월 초 사이에 급증했으며, 2026년 6월 8일과 9일에는 정부 IT 인프라와 연계된 수십 개 시스템을 겨냥한 "집중적인 공격 물결"이 발생했다.

스피어피싱을 초기 침투 수단으로 선택한 것은 놀랍지 않지만, 사용된 유인 자료의 선택은 위협 행위자가 콘텐츠를 맞춤화하고 성공 가능성을 극대화하기 위해 표적 조직에 대한 광범위한 정찰을 수행했음을 시사한다.

이메일에 신뢰성을 부여하기 위해 UAT-11587은 의도된 수신자가 신뢰하는 발신자 신원을 위조해 SPF 및 DMARC 보안 검사를 우회하고 메시지가 피해자의 받은편지함에 도달하도록 한 것으로 알려졌다.

"이 캠페인에서 초기 접근을 위해 사용된 또 다른 사회공학 기법은 이메일 HTML 본문 안에 지메일의 기본 첨부파일 미리보기 위젯을 정교하게 재구성한 것이었다"고 Shen은 설명했다. "공격자는 네 개의 인라인 PNG 이미지를 Base64로 인코딩된 MIME 파트로 삽입해 지메일 첨부파일 카드의 스타일을 복제했다."

"전체 첨부파일 카드는 공격자가 제어하는 [Cloudflare Pages] URL을 가리키는 앵커 태그로 감싸졌다. 지메일 사용자가 브라우저에서 이메일을 열면, 지메일의 렌더러가 공격자가 제어하는 HTML을 충실히 표시해 합법적인 지메일 첨부파일 미리보기와 시각적으로 구별되지 않는 가짜 첨부파일 위젯을 만들어낸다."

유인 자료 분석 결과 외교, 국제 안보, 정부 정책에 관심 있는 대상을 겨냥하는 경향이 나타났다고 Talos는 덧붙였다. 공격 체인 자체는 HTA 또는 WSF 스테이저로 시작해 Antino 배포로 끝나는 5단계 과정이다.

피싱 이메일 속 Cloudflare URL은 HTA 또는 WSF 파일 다운로드로 이어지며, 이 파일이 실행되면 자바스크립트 다운로더와 복호화 도구를 가져온다. 다음 단계는 .NET 역직렬화 체인을 트리거해 .NET 다운로더 겸 실행기인 "TestAssembly.dll"을 로드하며, 이는 세 가지 작업을 담당한다 -

• 유인 문서를 다운로드해 피해자에게 열어 보여줌.
• 위장용 계산기(Calculator) 실행 파일을 다운로드.
• Antino 백도어를 다운로드해 실행.

이 임플란트("slc.dll")는 정상적인 마이크로소프트 서명 바이너리("GatherOsState.exe")를 이용한 DLL 사이드로딩 방식으로 실행된다. 일단 실행되면, 이 Rust 기반 악성코드는 눈에 띄는 전용 명령제어(C2) 서버에 의존하는 대신 Microsoft 365 애플리케이션과 통신하며 아웃룩과 원드라이브 객체를 데드드롭(은닉 전달 지점)으로 사용한다.

Antino는 같은 유형의 다른 백도어와 다르지 않게 호스트 정찰, 명령 실행, 지속성을 지원한다. 또한 실행 중인 프로세스 목록 조회, 디렉터리 열거, 파워셸 스크립트 실행, 셸코드 실행, 운영자가 제공한 프로그램 및 "cmd.exe"를 이용한 명령 실행도 가능하다.

C2를 위해 이 백도어는 명령 교환에는 아웃룩을, 하트비트(생존 신호) 및 파일 전송에는 원드라이브를 사용한다. 구체적으로는 10초마다 공격자의 아웃룩 메일함 폴더에서 "command_req_[session_id]"라는 제목 접두사가 붙은 메시지를 찾아 명령을 가져온다.

"Antino 백도어는 윈도우 스크립트 진단 프레임워크(Scripted Diagnostics framework)를 악용해 정상적인 윈도우 구성 요소를 통해 공격자가 제어하는 파워셸을 실행한다"고 Talos는 밝혔다. "이는 행위 기반 귀속(attribution) 분석을 복잡하게 만들 수 있지만, 관찰 가능한 파워셸, 파일 생성, 레지스트리 텔레메트리까지 완전히 없애지는 못한다."