Связанная с Китаем группа UAT-11587, получившая это обозначение от Cisco Talos, ведёт разведывательные операции против государственных учреждений, политических и академических организаций, аналитических центров и гражданского общества. Активность впервые обнаружили в сентябре 2025 года в ходе адресной фишинговой кампании против тайваньских исследователей, экспертов по государственной политике и общественных организаций. Позднее круг целей вырос до 16 учреждений в восьми азиатских странах. В публикации названы лишь семь: Тайвань, Индия, Филиппины, Камбоджа, Пакистан, Таиланд и Мьянма; восьмая страна не указана. Примерно в мае 2026 года атакам подверглись и организации в Сирии, то есть интересы операторов уже не ограничивались Азией.
С марта до начала июня 2026 года интенсивность кампании заметно выросла. Самая плотная серия атак пришлась на 8–9 июня 2026 года: злоумышленники нацелились на десятки компьютеров, связанных с государственной ИТ-инфраструктурой. Темы приманок совпадали с направлениями разведывательного интереса: тайваньская политика, законодательство, гражданская оборона, дипломатия, морские вопросы, международная безопасность, внешняя политика и работа государственных органов. По оценке Talos, письма готовились после подробного изучения конкретных учреждений и их сотрудников. Отправители маскировались под знакомых адресатам людей и организации; использованные приёмы помогали обходить или уклоняться от проверок SPF и DMARC, повышая шанс попадания письма во входящие.
Особенно тщательно была сделана поддельная карточка вложения Gmail. Исследователь Cisco Talos Ashley Shen установила, что злоумышленники почти полностью воспроизвели штатный элемент предварительного просмотра прямо в HTML-коде письма. Его оформление собиралось из четырёх PNG-изображений, встроенных как MIME-части в кодировке Base64. Карточку целиком помещали внутрь HTML-ссылки, которая вела на подконтрольный атакующим адрес Cloudflare Pages. При открытии письма через браузер Gmail отображал этот код, и подделка выглядела как обычное вложение. Щелчок отправлял пользователя не к документу Google, а на внешний узел, запускавший заражение.
Цепочка состояла из пяти стадий. Сначала адресат получал фишинговое письмо с поддельным вложением. После перехода на Cloudflare Pages загружался и выполнялся файл HTA либо WSF. Этот загрузчик получал JavaScript-компоненты для скачивания и расшифровки следующего этапа. Затем через цепочку десериализации .NET запускалась библиотека TestAssembly.dll, совмещавшая функции загрузчика и пускового модуля. Она открывала правдоподобный документ-приманку, загружала ложный исполняемый файл Calculator, а заодно доставляла бэкдор Antino. Наличие ожидаемого документа снижало вероятность того, что жертва сразу заподозрит атаку.
Сам Antino записывался как slc.dll и запускался методом подменной загрузки DLL рядом с GatherOsState.exe — легитимным исполняемым файлом, подписанным Microsoft. Такой способ позволяет вредоносной библиотеке стартовать в контексте доверенной программы. Antino, ранее не описанный публично Windows-бэкдор на языке Rust, собирает сведения о компьютере, просматривает каталоги и запущенные процессы, сохраняет присутствие после перезагрузки, передаёт файлы и выполняет команды через cmd.exe. Оператор может запускать PowerShell-сценарии, загружать шелл-код непосредственно в память и передавать собственные программы для исполнения.
Главная техническая особенность Antino — отказ от заметного отдельного командного сервера. Встроенный канал управления работает через Microsoft 365 и API Microsoft Graph, а Outlook и OneDrive используются как цифровые тайники. Каждые 10 секунд имплант проверяет папку почтового ящика оператора Outlook и ищет сообщения, тема которых начинается с command_req_[session_id]. Через такие письма передаются команды. OneDrive обслуживает контрольные сигналы, подтверждающие активность заражённой машины, и обмен файлами. Для сетевых средств защиты это создаёт неудобную картину: соединения идут к настоящей инфраструктуре Microsoft и внешне похожи на обычную работу облачных приложений.
Бэкдор также злоупотребляет механизмом Windows Scripted Diagnostics, заставляя штатные компоненты Windows выполнять подготовленный атакующим PowerShell-код. Из-за этого отдельные действия труднее сразу связать с исходным процессом Antino. Полностью скрыть операцию приём всё же не позволяет: в системе остаются сведения о запуске PowerShell, создании файлов и изменениях реестра Windows. Связка Microsoft 365, подписанного GatherOsState.exe и диагностических компонентов Windows уменьшает число очевидных вредоносных признаков, но не отменяет поведенческую телеметрию.
Talos связывает UAT-11587 с китайской экосистемой с высокой степенью уверенности. В документах-приманках обнаружены языковые метаданные zh-CN и указания на упрощённый китайский, а заголовки фишинговых сообщений содержали часовой пояс UTC+08:00. Почти в дюжине сборок Antino сохранились пути реестра Cargo со ссылками на rsproxy[.]cn — быстрый внутренний прокси и зеркало , рассчитанное прежде всего на пользователей материкового Китая. Сами цели тоже характерны для государственной разведки: политические решения Тайваня, оборона, морская деятельность, дипломатические связи и региональная безопасность.
Ещё одна зацепка обнаружилась в JavaScript-загрузчике UAT-11587: он обращался к домену d32tpl7xt7175h.cloudfront[.]net в инфраструктуре Amazon CloudFront. Компания Arctic Wolf ранее отмечала этот же домен в операции UNC6384, другого связанного с Китаем субъекта. UNC6384 атаковал европейские дипломатические и государственные учреждения через неисправленную уязвимость ярлыков Windows. Та кампания была названа прошлогодней, но конкретный календарный год в описании не приводился. Совпадение инфраструктуры само по себе не доказывает единого оператора, зато дополняет языковые, временные и программные признаки.
В тактике UAT-11587 заметно пересечение с группой Jewelbug, а у Jewelbug, в свою очередь, находили сходство с китайскими кластерами CL-STA-0049, Earth Alux, Ink Dragon и REF7707. В августе 2026 года принадлежащая Broadcom компания Symantec совместно с Carbon Black описала Jewelbug как базирующуюся в Китае группу наёмных хакеров. Ей приписали шпионские операции и коммерческое мошенничество с криптовалютой. Cisco Talos не нашла подтверждённой связи между кампанией Antino и финансовой деятельностью Jewelbug, поэтому сохранила для UAT-11587 отдельное обозначение. Набор целей Antino указывает прежде всего на сбор политической, дипломатической, оборонной и государственной информации, тогда как тщательно подделанные письма и трафик через привычные облачные службы позволяют долго не привлекать внимания.
Изображение носит иллюстративный характер
С марта до начала июня 2026 года интенсивность кампании заметно выросла. Самая плотная серия атак пришлась на 8–9 июня 2026 года: злоумышленники нацелились на десятки компьютеров, связанных с государственной ИТ-инфраструктурой. Темы приманок совпадали с направлениями разведывательного интереса: тайваньская политика, законодательство, гражданская оборона, дипломатия, морские вопросы, международная безопасность, внешняя политика и работа государственных органов. По оценке Talos, письма готовились после подробного изучения конкретных учреждений и их сотрудников. Отправители маскировались под знакомых адресатам людей и организации; использованные приёмы помогали обходить или уклоняться от проверок SPF и DMARC, повышая шанс попадания письма во входящие.
Особенно тщательно была сделана поддельная карточка вложения Gmail. Исследователь Cisco Talos Ashley Shen установила, что злоумышленники почти полностью воспроизвели штатный элемент предварительного просмотра прямо в HTML-коде письма. Его оформление собиралось из четырёх PNG-изображений, встроенных как MIME-части в кодировке Base64. Карточку целиком помещали внутрь HTML-ссылки, которая вела на подконтрольный атакующим адрес Cloudflare Pages. При открытии письма через браузер Gmail отображал этот код, и подделка выглядела как обычное вложение. Щелчок отправлял пользователя не к документу Google, а на внешний узел, запускавший заражение.
Цепочка состояла из пяти стадий. Сначала адресат получал фишинговое письмо с поддельным вложением. После перехода на Cloudflare Pages загружался и выполнялся файл HTA либо WSF. Этот загрузчик получал JavaScript-компоненты для скачивания и расшифровки следующего этапа. Затем через цепочку десериализации .NET запускалась библиотека TestAssembly.dll, совмещавшая функции загрузчика и пускового модуля. Она открывала правдоподобный документ-приманку, загружала ложный исполняемый файл Calculator, а заодно доставляла бэкдор Antino. Наличие ожидаемого документа снижало вероятность того, что жертва сразу заподозрит атаку.
Сам Antino записывался как slc.dll и запускался методом подменной загрузки DLL рядом с GatherOsState.exe — легитимным исполняемым файлом, подписанным Microsoft. Такой способ позволяет вредоносной библиотеке стартовать в контексте доверенной программы. Antino, ранее не описанный публично Windows-бэкдор на языке Rust, собирает сведения о компьютере, просматривает каталоги и запущенные процессы, сохраняет присутствие после перезагрузки, передаёт файлы и выполняет команды через cmd.exe. Оператор может запускать PowerShell-сценарии, загружать шелл-код непосредственно в память и передавать собственные программы для исполнения.
Главная техническая особенность Antino — отказ от заметного отдельного командного сервера. Встроенный канал управления работает через Microsoft 365 и API Microsoft Graph, а Outlook и OneDrive используются как цифровые тайники. Каждые 10 секунд имплант проверяет папку почтового ящика оператора Outlook и ищет сообщения, тема которых начинается с command_req_[session_id]. Через такие письма передаются команды. OneDrive обслуживает контрольные сигналы, подтверждающие активность заражённой машины, и обмен файлами. Для сетевых средств защиты это создаёт неудобную картину: соединения идут к настоящей инфраструктуре Microsoft и внешне похожи на обычную работу облачных приложений.
Бэкдор также злоупотребляет механизмом Windows Scripted Diagnostics, заставляя штатные компоненты Windows выполнять подготовленный атакующим PowerShell-код. Из-за этого отдельные действия труднее сразу связать с исходным процессом Antino. Полностью скрыть операцию приём всё же не позволяет: в системе остаются сведения о запуске PowerShell, создании файлов и изменениях реестра Windows. Связка Microsoft 365, подписанного GatherOsState.exe и диагностических компонентов Windows уменьшает число очевидных вредоносных признаков, но не отменяет поведенческую телеметрию.
Talos связывает UAT-11587 с китайской экосистемой с высокой степенью уверенности. В документах-приманках обнаружены языковые метаданные zh-CN и указания на упрощённый китайский, а заголовки фишинговых сообщений содержали часовой пояс UTC+08:00. Почти в дюжине сборок Antino сохранились пути реестра Cargo со ссылками на rsproxy[.]cn — быстрый внутренний прокси и зеркало , рассчитанное прежде всего на пользователей материкового Китая. Сами цели тоже характерны для государственной разведки: политические решения Тайваня, оборона, морская деятельность, дипломатические связи и региональная безопасность.
Ещё одна зацепка обнаружилась в JavaScript-загрузчике UAT-11587: он обращался к домену d32tpl7xt7175h.cloudfront[.]net в инфраструктуре Amazon CloudFront. Компания Arctic Wolf ранее отмечала этот же домен в операции UNC6384, другого связанного с Китаем субъекта. UNC6384 атаковал европейские дипломатические и государственные учреждения через неисправленную уязвимость ярлыков Windows. Та кампания была названа прошлогодней, но конкретный календарный год в описании не приводился. Совпадение инфраструктуры само по себе не доказывает единого оператора, зато дополняет языковые, временные и программные признаки.
В тактике UAT-11587 заметно пересечение с группой Jewelbug, а у Jewelbug, в свою очередь, находили сходство с китайскими кластерами CL-STA-0049, Earth Alux, Ink Dragon и REF7707. В августе 2026 года принадлежащая Broadcom компания Symantec совместно с Carbon Black описала Jewelbug как базирующуюся в Китае группу наёмных хакеров. Ей приписали шпионские операции и коммерческое мошенничество с криптовалютой. Cisco Talos не нашла подтверждённой связи между кампанией Antino и финансовой деятельностью Jewelbug, поэтому сохранила для UAT-11587 отдельное обозначение. Набор целей Antino указывает прежде всего на сбор политической, дипломатической, оборонной и государственной информации, тогда как тщательно подделанные письма и трафик через привычные облачные службы позволяют долго не привлекать внимания.
