Cisco Talosは、アジアの政府機関や政策関連組織を狙うサイバー諜報キャンペーンで、新たなWindowsバックドア「Antino」が使われていると報告しました。AntinoはOutlookとOneDriveをC2通信に利用する点が特徴で、正規のMicrosoft 365通信に紛れて攻撃者からの命令やファイル転送を行う仕組みを備えています。Talosは一連の活動をUAT-11587として追跡し、中国との関連性を高い確度で評価しています。
The Hacker News：Antino Backdoor Uses Outlook and OneDrive for C2 in China-Nexus Espionage Campaign
この記事のポイント
影響のあるシステム
- Windows端末がAntinoバックドアの実行対象として確認されています。
- 台湾、インド、フィリピン、カンボジア、パキスタン、タイ、ミャンマーなどの政府・政策関連組織が標的として報告されています。
- Cisco Talosは2026年7月までに、アジア8カ国の少なくとも16の組織環境が標的または影響を受けたとしています。（2026年10月の記事公開の時点）
- 攻撃ではスピアフィッシングメール、HTAまたはWSFファイル、JavaScript、.NETローダー、DLLサイドローディングなど複数段階の手法が利用されています。
- AntinoはMicrosoft Graphを利用し、Outlookをコマンド交換、OneDriveを生存確認やファイル転送に使用します。
推奨される対策
- 政府、公共、外交、安全保障、政策研究などを扱う組織では、標的型メールへの監視を強化してください。
- メール本文内に表示される添付ファイル風のUIをそのまま信用せず、実際のリンク先やファイル形式を確認してください。
- HTA、WSF、JavaScriptなどがメール経由で取得・実行されていないか、エンドポイントログを確認してください。
- 正規Microsoftバイナリ「GatherOsState.exe」の周辺で不審なDLLが読み込まれていないか確認してください。
- PowerShell、cmd.exe、Windows Scripted Diagnosticsの不審な実行履歴を監視してください。
- Microsoft 365やMicrosoft Graphを利用した通常とは異なるOutlook・OneDrive操作について、認証ログやAPI利用状況を確認してください。
- Cloudflare Pagesなど正規クラウドサービスへのアクセスであっても、メール内リンクから実行ファイルやスクリプトが取得される場合は注意してください。
上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。
この記事に出てくる専門用語
- Antino：Cisco Talosが確認したRust製のWindowsバックドアです。端末情報の収集、コマンド実行、ファイル転送、メモリ上でのシェルコード実行、永続化などの機能を備えています。
- UAT-11587：Cisco Talosが今回の攻撃活動を追跡するために付与した識別名です。
- C2（Command and Control）：攻撃者が侵害した端末へ命令を送り、データを受け取るための通信基盤です。
- Microsoft Graph：Microsoft 365などのサービスやデータへAPI経由でアクセスするための仕組みです。
- スピアフィッシング：特定の個人や組織を狙い、相手に合わせた内容で作成される標的型フィッシング攻撃です。
- DLLサイドローディング：正規の実行ファイルに悪意あるDLLを読み込ませ、不正コードを実行する手法です。
- HTA：HTML Applicationの略で、Windows上でスクリプトを実行できる形式です。攻撃の初期段階で悪用される場合があります。
- WSF：Windows Script Fileの略で、Windows Script Hostを通じてスクリプトを実行するファイル形式です。
アジアの政府・政策関連組織を狙う標的型攻撃
Cisco TalosがUAT-11587として追跡している攻撃活動では、政府機関、外交、安全保障、政策研究に関係する組織が主な標的になっています。Talosによると、活動は少なくとも2025年9月には確認されており、当初は台湾の学術機関、シンクタンク、市民社会の政策コミュニティを対象としたスピアフィッシングとして観測されました。その後、対象地域は広がり、台湾、インド、フィリピン、カンボジア、パキスタン、タイ、ミャンマーなどを含むアジア各地で確認されています。
2026年7月までには、少なくとも8カ国の16の組織環境が標的または影響を受けたとTalosは報告しています。また、2026年5月ごろにはシリアの組織も標的となった証拠があり、活動範囲がアジアだけに限定されているわけではないことも示されています。攻撃は2026年3月から6月初旬にかけて活発化し、特に6月8日と9日には政府ITインフラに関連する多数のシステムを狙う集中した攻撃が確認されています。
Talosは、使用された文書の言語設定や簡体字中国語のメタデータ、メールヘッダーに見られるUTC+08:00のタイムゾーン、開発環境に残された情報など複数の要素から、UAT-11587を中国との関連性を持つ攻撃活動と高い確度で評価しています。ただし、特定の中国政府系組織や既知の攻撃グループへの明確な帰属までは示していません。
本物そっくりのGmail添付表示でクリックを誘導
UAT-11587は、標的に合わせて内容を調整したスピアフィッシングを初期侵入に利用しています。Talosは、攻撃者が事前に対象組織について詳細な調査を行い、外交、国際安全保障、政府政策など、受信者が関心を持ちやすいテーマを使ってメールを作成していたとみています。
特徴的なのが、Gmailの正規の添付ファイル表示を模倣した手法です。攻撃者はメール本文のHTML内に複数のPNG画像をBase64形式で埋め込み、Gmailの添付ファイルカードとほぼ同じ見た目を再現していました。そのカード全体には攻撃者が管理するCloudflare PagesのURLが設定されており、利用者が添付ファイルだと思ってクリックすると、実際には外部サイトへ誘導されます。
見た目上は通常のGmail添付プレビューと区別しにくいため、「添付ファイルを開く」という日常的な操作を利用して攻撃サイトへ誘導できる点が重要です。また、攻撃者は受信者が信頼する人物を装った送信者情報も使用していたと報告されています。メールセキュリティ対策を導入していても、表示上の信頼性だけで判断せず、リンク先や取得されるファイル形式を確認することが重要になります。
HTAやWSFから始まる5段階の感染チェーン
攻撃は複数段階で構成されています。フィッシングメール内のCloudflare Pagesへのリンクをクリックすると、HTAまたはWSF形式のファイルがダウンロードされます。これが実行されると、次の段階となるJavaScriptベースのダウンローダーおよび復号処理が取得され、さらに.NETのデシリアライゼーション処理を利用して「TestAssembly.dll」と呼ばれるコンポーネントが読み込まれます。
TestAssembly.dllは、被害者に見せるためのおとり文書を取得して開くほか、おとりとして利用されるCalculator実行ファイルを取得し、最終的にAntinoバックドアをダウンロードして起動します。このように正規文書やおとりプログラムを同時に表示することで、利用者に不審な処理が行われていることを気付かせにくくしている可能性があります。
Antino本体は「slc.dll」として展開され、Microsoftが署名した正規の「GatherOsState.exe」を利用したDLLサイドローディングによって実行されます。正規のMicrosoft製バイナリを経由して不正DLLを読み込ませることで、単純に実行ファイル名だけを見る監視では攻撃を見逃す可能性があります。そのため、防御側では正規ファイルかどうかだけでなく、そのプロセスがどのDLLを読み込み、どこから起動されているかまで確認することが重要です。
OutlookとOneDriveをC2として利用
Antinoの最大の特徴の一つが、専用のC2サーバーではなくMicrosoft 365を攻撃者との通信に利用する点です。マルウェアはMicrosoft Graphを介してOutlookとOneDriveへアクセスし、正規クラウドサービスを通信経路として利用します。Talosによると、Outlookは攻撃者からのコマンド交換に、OneDriveは生存確認とファイル転送に使用されています。
具体的には、Antinoは攻撃者が管理するOutlookメールボックスの特定フォルダを約10秒間隔で確認し、「command_req_[session_id]」という形式の件名を持つメッセージを探します。該当するメッセージを取得することで、攻撃者からの命令を受け取ります。一方、OneDriveは感染端末が稼働していることを示すハートビートや、ファイルの送受信に利用されます。
この方法では、外部の未知ドメインへ継続的に接続する典型的なマルウェアと異なり、通信先そのものはMicrosoft 365という広く利用される正規サービスになります。そのため、ドメイン単位の単純な遮断では検知が難しくなる可能性があります。防御側ではMicrosoft 365への通信を一律に疑うのではなく、通常の利用パターンと比較しながら、不審なAPI操作、アカウント利用、メールボックスアクセス、OneDriveへのファイル操作などを確認する必要があります。
Antinoは情報収集からPowerShell実行まで対応
AntinoはRustで作成されたWindows向けバックドアで、侵害端末上で複数の操作を実行できます。Talosによると、端末情報の収集、ディレクトリの列挙、実行中プロセスの確認、ファイルの転送、シェルやPowerShellによるコマンド実行などに対応しています。また、攻撃者が指定したプログラムやシェルコードをメモリ上へ読み込んで実行することも可能です。
さらに、AntinoはWindows Scripted Diagnosticsの仕組みを悪用し、正規のWindowsコンポーネントを経由して攻撃者が指定したPowerShellを実行する手法も利用します。このため、最終的なPowerShellの挙動だけを見ると、元のAntinoプロセスとの関連が分かりにくくなる可能性があります。
ただし、こうした手法によってすべての痕跡が消えるわけではありません。Talosは、PowerShellの実行、ファイル作成、レジストリ操作などのテレメトリは引き続き観測可能だとしています。そのため、EDRなどでプロセス間の親子関係、スクリプト実行、DLLロード、ファイル作成、レジストリ変更などを横断的に確認することが、Antinoのような多段階攻撃の検出に重要です。
国内組織も正規クラウド通信を悪用する攻撃に注意
今回確認された主な標的は海外の政府・政策関連組織ですが、日本国内でも同様の攻撃手法には注意が必要です。特に重要なのは、Microsoft 365やCloudflareといった正規サービスが攻撃インフラとして悪用されている点です。通信先が著名なクラウドサービスだから安全だと判断すると、不審な挙動を見逃す可能性があります。
また、メールの内容そのものも高度に調整されています。受信者の業務や関心に合わせたテーマを使用し、Gmailの添付プレビューまで再現するなど、見た目から攻撃だと判断することが難しくなっています。そのため、利用者教育では「不自然な日本語」や「怪しい差出人」だけをフィッシングの判断基準にするのではなく、リンク先確認やスクリプト形式のファイルへの注意も含める必要があります。
企業や組織では、メールセキュリティ、EDR、Microsoft 365監査ログを個別に見るのではなく、一連の攻撃チェーンとして関連付けることが重要です。メール内リンクへのアクセス後にHTAやWSFが取得され、JavaScriptやPowerShellが実行され、その後Microsoft 365 APIへの不自然な通信が始まっていないかを追跡できれば、正規サービスを隠れみのにした攻撃に対しても検知精度を高められる可能性があります。
参考文献・記事一覧
- The Hacker News
- Cisco Talos – China-nexus UAT-11587 targets government and policy organizations across Asia with Antino backdoor
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
