Gmail Cisco Talos Antino
發布時間:
資安業者 Cisco Talos於9月30日發布威脅報告指出，內部代號 UAT-11587的駭客組織自今年3月起，鎖定台灣學術界、智庫與公民社會政策社群發動魚叉式網路釣魚，意圖在受害裝置投放以 Rust語言編寫的 Windows後門程式「Antino」。根據媒體 iThome於10月1日整理該報告內容，截至今年7月，相關攻擊活動已波及台灣、印度、菲律賓及柬埔寨等8個亞洲國家、至少16個機構環境，其中確認受害達10個、疑似受害5個，另有1個遭到鎖定；台灣3月的攻擊行動正是 Talos追查全案威脅活動的起點。
調查指出，攻擊者寄發的釣魚郵件高度客製化，曾以邀請擔任工作坊講師為由，信中明確載明課程約50分鐘、講師費3,500元新台幣等細節。郵件內看似正常的 Gmail附件卡片，實質上並非真實附件，而是利用多層版面與4張內嵌 PNG圖片偽造的視覺誘餌。攻擊主題亦緊扣敏感領域，包括題為「Taiwan Information Warfare」的 TikTok與兩岸資訊操弄研究，甚至直接複製財政部的「立法委員行使職務支領之各項費用徵免稅原則」與「115年度薪資所得扣繳稅額表說明」等公開函釋，Talos推測此舉顯示攻擊者可能意圖將目標延伸至公部門人員。
在技術手法上，受害者若點擊偽造附件，將會連線至攻擊者控制的 Cloudflare Pages並下載 HTA檔案。該下載連結帶有收件者識別參數以追蹤點擊狀態，且網址刻意以雙斜線「//」開頭，Talos推測此設計可能是為了規避僅偵測完整 URL的安全防禦工具。成功植入的 Antino後門具備主機偵察、執行系統命令與 PowerShell、檔案傳輸、於記憶體內載入 shellcode及維持常駐等能力；其命令控制頻道更濫用 Microsoft 365的 Graph API，將 Outlook與 OneDrive作為情報交換中繼站，並高度仰賴 Cloudflare基礎設施代管與傳遞酬載。
針對攻擊來源，Cisco Talos以高信心度評估 UAT-11587具備中國關聯，但強調該項結論屬於威脅情資研判，並非司法定罪，相關細節目前仍屬單一廠商報告內容。資安專家建議台灣學界與智庫機構，若在 Gmail中發現以內嵌圖片搭配超連結偽裝的假附件卡片，應主動透過官方管道查證，切勿直接下載或開啟隨附檔案，以防範端點設備遭植入後門威脅。
Cisco Talos
https://blog.talosintelligence.com/china-nexus-uat-11587-targets-government-and-policy-organizations-across-asia-with-antino-backdoor/