Cisco Talos atribuye a UAT-11587 el backdoor Antino, que usó Microsoft 365 como panel de mando para espiar dieciséis organismos de Asia.
Un backdoor alojado en la nube de todos
La unidad de inteligencia de amenazas de Cisco lleva rastreando este cluster desde septiembre de 2025. En julio de 2026, el recuento era de al menos dieciséis organizaciones gubernamentales y de política pública repartidas por ocho países asiáticos. Alrededor de 350 endpoints comprometidos. La mayor oleada única, cincuenta y siete equipos nuevos, cayó sobre India en dos días de junio. Eso no es ruido de fondo: es una operación de recolección sostenida y deliberada.
La lista de víctimas se lee como el catálogo que pediría cualquier servicio de inteligencia: ministerios de Defensa, parlamentos,, oficinas de Asuntos Exteriores, agencias de seguridad fronteriza e interior. Y, detrás, los think tanks y grupos de la sociedad civil que suelen enterarse antes que los propios gobiernos de lo que a esos gobiernos les importa.
Fíjese usted: lo relevante de Antino no es cómo entra, sino dónde vive una vez dentro. Ese giro es lo que separa este caso de la avalancha semanal de informes técnicos que se parecen entre sí.
El backdoor está escrito en Rust y funciona tanto en Windows de 32 como de 64 bits. Soporta lo habitual en su categoría: shell y PowerShell, transferencia de archivos, ejecución de shellcode en memoria y persistencia. Nada de eso es nuevo. Lo que marca la diferencia es su canal de mando y control: no tiene servidor propio.
Cuando el panel de mando de un espía es la misma nube que usan cien millones de empleados, el ruido de fondo se convierte en el mejor escondite.
Anatomía del ataque: el correo como sala de máquinas
Antino no llama a casa. Lee las órdenes en un buzón de Outlook ajeno. A través de Microsoft Graph, la API que conecta aplicaciones con Outlook y OneDrive, el implante consulta su carpeta de correo cada diez segundos buscando instrucciones nuevas. Los comandos y los resultados viajan como JSON estructurado escondido dentro de asuntos de correo con formato especial. Los mensajes de tarea llevan el prefijo command_req_[session_id]; las respuestas, command_res_[session_id]. Un sistema paralelo sube los archivos robados a una carpeta de OneDrive y descarga las herramientas del atacante desde otra.
Le adelanto un detalle que dice mucho de la mentalidad del operador: en la nomenclatura interna, ‘uploads’ son los archivos que el atacante envía a la víctima y ‘downloads’ los que extrae de ella. La perspectiva del que espía, no la del espiado. El tráfico se confunde con el de cualquier empresa que use Microsoft 365 a diario.
La entrada es más convencional: correo de phishing muy dirigido. UAT-11587 fabricó documentos a medida que sugieren reconocimiento previo. Un falso taller sobre la guerra de información en Taiwán. Un documento que calcaba una resolución real del Ministerio de Hacienda taiwanés sobre el tratamiento fiscal de los legisladores. En otro caso, reutilizaron una noticia real de Associated Press sobre supuestas ofertas rusas a Estados Unidos en relación con Venezuela. Las muestras coincidentes de malware aparecieron en VirusTotal dos días después de publicarse la noticia original.
El truco de entrega es simple y eficaz: spoofing de correo que explota un hueco que casi nadie vigila. SPF pasaba porque el dominio remitente real estaba autorizado; DMARC detectaba el desajuste y fallaba. Pero el dominio suplantado tenía la política DMARC en modo monitorización, no en rechazo. Resultado: el correo llegó igual a la bandeja de entrada. Una configuración mal puesta convirtió una alerta en una puerta abierta.
Y luego está el detalle de Gmail. Los atacantes recrearon la tarjeta de vista previa de adjuntos casi píxel a píxel con imágenes incrustadas en el HTML del propio correo. La falsa vista previa era, además, un enlace a una página bajo su control. No hay exploit. Es una copia muy convincente de algo en lo que el usuario ya confía. De ese clic arranca una cadena de cinco etapas con archivos HTA, Windows Script Host y una deserialización de .NET que abusa de una gadget chain conocida para cargar código dentro de un proceso de confianza. La etapa final carga Antino mediante un binario de diagnóstico de Microsoft firmado: lo que suelta el backdoor en disco es una herramienta que el propio Windows acepta por defecto.
Cloudflare Pages, R2 y Amazon CloudFront transportaron casi todas las etapas. El tráfico se confundió con HTTPS ordinario de principio a fin. La atribución no se apoya en una bala de plata, sino en la acumulación de detalles pequeños. Metadatos de los documentos señuelo con etiquetas de chino simplificado y marca horaria UTC+8, combinación más propia de China continental que de Taiwán o Hong Kong, donde domina el tradicional. Y diez construcciones distintas de Antino que apuntan a un espejo de paquetes Rust creado a propósito para acelerar descargas de dependencias desde territorio chino. El tipo de elección que un desarrollador hace por comodidad, no por disfraz.
Talos cierra su evaluación con una frase que conviene leer despacio: ‘Based on the development, preparation-environment, and targeting indicators detailed in this report, Talos assesses with high confidence that UAT-11587 is China-nexus’. Alta confianza, no certeza absoluta. Es la fórmula correcta, y honesta. Sigo desde hace años el trabajo de atribución de Talos y no recuerdo una sola pieza construida sobre una única fuente.
El informe completo, con los indicadores técnicos y las reglas de detección, está disponible en el blog de Cisco Talos. Merece lectura lenta: cada apartado añade una pieza al puzle.
Dossier Moncloa: Ojos en la Sombra
El vector es de manual contemporáneo. Un APT con backdoor propio que entra por phishing dirigido y extrae documentos a través de servicios legítimos en la nube. Nada de ransomware, nada de sabotaje. Recolección pura y silenciosa. El objetivo no es romper sistemas: es leerlos durante meses sin que nadie lo note.
En el reparto de papeles, el atacante es UAT-11587, con la atribución técnica de Talos y el sesgo institucional que toda atribución arrastra: alta confianza sobre su nexo chino, no una sentencia judicial. Los defensores son los organismos asiáticos golpeados y, de fondo, Microsoft, que ve cómo su ecosistema Graph se convierte en canal de mando. Los terceros que miran y toman nota son las agencias de inteligencia occidentales, que llevan años viendo cómo Pekín transforma la infraestructura comercial estadounidense en su propia red de escucha. No es un fenómeno nuevo: en 2020, la campaña SolarWinds, atribuida al SVR ruso, ya demostró que el software de confianza es el mejor caballo de Troya.
He seguido de cerca la evolución de esta técnica durante los últimos años. Los servicios chinos entienden algo que Occidente tarda en asumir: la mejor cobertura para el tráfico malicioso no es un servidor clonado en San Petersburgo, sino la nube que ya usan todos. Cloudflare, CloudFront, OneDrive, Outlook. Escribí hace años en El quinto elemento que el próximo 11S empezará con un clic. Este informe es una vuelta de tuerca a aquella advertencia: empezará por un clic sobre algo que el usuario cree reconocer.
A juzgar por la naturaleza del material exfiltrado, documentos de ministerios de Defensa, parlamentos y agencias fronterizas, estimo un nivel de clasificación de Secreto en la mayoría de los casos, con episodios concretos probablemente en rango Top Secret. No hay rastro público de que el CNI o el CCN-CERT hayan tenido implicación directa: España no figura entre los ocho países víctimas. No se equivoque usted con la distancia geográfica. Los objetivos son asiáticos porque la operación es asiática; la técnica, en cambio, es universal y perfectamente replicable. Desde la web oficial del CCN-CERT se sigue este tipo de campañas con atención creciente.
Reconozco el punto débil del análisis. La atribución en ciberguerra se construye con indicios, no con huellas dactilares. Los metadatos en chino simplificado y el espejo de paquetes Rust apuntan a un desarrollador cómodo trabajando en horario de Pekín; no prueban quién apretó el gatillo. La misma evidencia que permite acusar a un actor estatal permite a otro fabricarla. Talos lo sabe y por eso habla de alta confianza, no de certeza. Yo también.
Para las agencias occidentales, el caso deja una lección operativa incómoda: la superficie de ataque que importa ya no es la red interna, sino el proveedor de nube al que media empresa europea confía sus datos. El próximo informe de Talos sobre Antino, o una actualización del catálogo de tácticas del CCN-CERT, marcará si la técnica se extiende fuera de Asia. Merece la pena estar atentos.
