中国関連のサイバー攻撃集団が新種マルウェア「Antino」を展開、Microsoft 365を悪用してアジア各国の政府・政策機関を標的に
要点
- 米Cisco Talosは、中国関連とみられる脅威アクター「UAT-11587」がアジア各国の政府やシンクタンクを狙ったスパイ活動を行っていると発表した。
- 攻撃には新たに確認されたRust言語製のWindows向けバックドア「Antino」が使われ、C2通信にMicrosoft 365のOutlookやOneDriveが悪用されている。
- 被害対象は台湾、インド、フィリピンなどアジア8か国の16組織に及び、2026年5月にはシリアの組織への標的拡大も確認された。
- 侵入経路には標的型メールが用いられ、Gmailの添付ファイルプレビュー表示をHTML内で精巧に模倣するなど巧妙な手口が使われていた。
- ビルドパスに残された中国国内向けプロキシの痕跡や言語メタデータなど、複数の技術的証拠から中国関連の活動である可能性が極めて高いと評価されている。
米シスコの脅威インテリジェンス部門であるCisco Talosは2026年10月2日、中国との関連が強く疑われるサイバー攻撃グループが、アジアの政府機関や政策研究機関を狙ったスパイ活動を展開しているとする調査レポートを公開した。
同社が「UAT-11587」として追跡しているこの攻撃者は、これまで確認されていなかった新種のバックドア（不正アクセスの足場となるマルウェア）「Antino」を用い、機密情報の収集を行っているという。
アジア8か国16組織へ拡大した標的型スパイ活動
Cisco Talosによると、UAT-11587の活動は2025年9月、台湾の学術界やシンクタンク、市民社会の政策コミュニティを標的としたスピアフィッシング（特定の組織を狙った標的型メール攻撃）で最初に検知された。
その後、攻撃対象は台湾にとどまらず、インド、フィリピン、カンボジア、パキスタン、タイ、ミャンマーを含むアジア8か国の計16組織へと拡大したという。さらに、2026年5月頃には中東シリアの組織も標的になっており、活動範囲がアジア以外にも広がっている兆候が確認されている。
攻撃活動は2026年3月から6月上旬にかけて急増し、特に2026年6月8日と9日には、政府のITインフラに関連する数十のシステムを集中的に狙った大規模な攻撃波が観測された。
新種マルウェア「Antino」の特徴とM365を悪用したC2通信
今回の攻撃で展開された「Antino」は、プログラミング言語のRustで作成されたWindows環境向けのバックドアである。
Cisco Talosのセキュリティ研究者であるAshley Shen氏の説明によると、Antinoは感染した端末の偵察をはじめ、シェルやPowerShellコマンドの実行、ファイルの送受信、メモリ上へのシェルコード（直接実行される機械語コード）のロード、システムの再起動後も常駐し続ける永続化機能などを備えている。
特に特徴的な点として、マルウェアが攻撃者のサーバーと指示やデータをやり取りする「C2（コマンド＆コントロール）通信」において、Microsoft 365を排他的に利用していることが挙げられる。Microsoft Graph API（Microsoftの各種クラウドサービスを操作するインターフェース）を通じてOutlookやOneDriveと通信することで、正規のクラウドアクティビティの中に不正な通信を潜れ込ませ、検知を回避する設計になっているという。
Gmailプレビューの偽装など巧妙な初期侵入手法
攻撃の足がかりとなる初期侵入にはスピアフィッシングが用いられていたが、その文面やおとりの内容は、事前に標的組織を綿密に調査した上で作成されていた。
攻撃者は、受信者が信頼する実在の送信者情報を偽装することで、SPFやDMARCといった電子メールの送信元認証チェックを回避し、組織の受信トレイに直接メールを到達させていた。
また、電子メール本文内でのソーシャルエンジニアリング（人間の心理的な隙を突く手口）も巧妙化している。Shen氏によると、攻撃者はメールのHTML本文内に、Base64形式で埋め込んだ4枚のPNG画像を用いてGmail標準の「添付ファイルプレビューカード」のデザインを精巧に再現していた。カード全体に攻撃者が制御するCloudflare Pagesのリンクが設定されており、利用者がブラウザでメールを開いた際、本物の添付ファイルと見誤ってリンクをクリックするように誘導されていたという。
中国関連と評価された技術的証拠と他グループとの差異
Cisco Talosは、複数の証拠に基づき、UAT-11587を高い確度で「中国関連（China-nexus）」の脅威アクターと結論付けている。
おとり文書内には簡体字中国語のメタデータや「zh-CN」の言語設定が存在し、メールヘッダーには中国標準時などと一致する「UTC+08:00」のタイムゾーンが記録されていた。また、おとりのテーマとして台湾の政治、立法、民間防衛、政策研究のほか、地域の海洋問題、外交、安全保障などが扱われており、中国の関心領域と完全に合致している。
さらに技術面でも以下の2点が中国との関連を示している。
- Antinoのビルド成果物約12件において、Rustのパッケージ管理システム向けの中国国内高速プロキシサービス「rsproxy[.]cn」を参照するパスが含まれていた。
- 攻撃に関連するJavaScriptダウンローダーが参照していたCloudFrontドメイン（d32tpl7xt7175h.cloudfront[.]net）が、過去に中国関連グループ「UNC6384」がヨーロッパの外交・政府機関を狙った攻撃で使用したものと一致していた。
なお、UAT-11587の手口には、中国を拠点とする金銭目的の暗号資産詐欺とスパイ活動を兼業するハッカー集団「Jewelbug（CL-STA-0049、Earth Alux、Ink Dragon、REF7707などとも重複）」と戦術的な類似性が見られる。しかし、今回のスパイ活動において金銭目的の活動との直接的な接点は確認されなかったため、Cisco TalosはJewelbugとは別の独立したグループとしてUAT-11587を追跡している。