Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Señuelo de correo que instala Antino y usa correo y archivos en la nube.

Qué se ha confirmado

Cisco Talos sigue la actividad como UAT-11587 y afirma que se dirige a organizaciones gubernamentales y de políticas públicas de Asia, entre ellas entidades de Taiwán, India, Filipinas y Camboya.

Talos observó la actividad desde septiembre de 2025 y, hasta julio de 2026, identificó al menos diez entornos institucionales afectados confirmados, cinco probables y un objetivo adicional.

Una vía de entrada documentada emplea correos de phishing dirigido y documentos señuelo; el mensaje puede imitar la vista previa de un adjunto de Gmail para conducir a una descarga maliciosa.

En la cadena analizada, un archivo HTA ejecutado por mshta.exe inicia fases posteriores que abusan de la deserialización insegura de BinaryFormatter y terminan cargando Antino mediante una DLL.

Antino es una puerta trasera para Windows compilada en Rust; según Talos, admite reconocimiento del equipo, ejecución de shell y PowerShell, transferencia de archivos, carga de shellcode en memoria y persistencia.

La comunicación nativa de Antino utiliza Microsoft Graph para interactuar con Outlook y OneDrive dentro de Microsoft 365.

Talos evalúa con alta confianza un vínculo del grupo con China, pero trata por separado UAT-11587 de Jewelbug y no pudo verificar una conexión con la actividad financiera atribuida a este último.

Análisis de Defensops

La campaña combina señuelos adaptados a instituciones concretas con una secuencia de ejecución en Windows. Esto hace relevante correlacionar el correo recibido, la apertura del señuelo y la actividad posterior del host; un indicio aislado puede no representar la cadena completa.

El uso de Outlook y OneDrive como canal de comunicación puede mezclar tráfico malicioso con servicios empresariales habituales. La revisión defensiva debería considerar el contexto de acceso y el comportamiento de las aplicaciones, evitando concluir que toda conexión a Microsoft 365 es sospechosa.

La cifra de entornos afectados y la atribución geopolítica proceden de la investigación de Talos. La evidencia presentada permite describir la campaña y sus técnicas, pero no demuestra por sí sola que cualquier organización fuera del conjunto estudiado esté comprometida.

Prioridades de revisión

Revisar correos dirigidos que aparenten adjuntos de Gmail pero lleven a enlaces externos, especialmente cuando el dominio visible del remitente no esté alineado con la autenticación del mensaje.

Correlacionar ejecuciones de mshta.exe o Windows Script Host originadas tras la descarga de señuelos con conexiones a infraestructura de entrega y con procesos .NET posteriores.

Supervisar cargas inesperadas de DLL junto a binarios firmados y cambios de persistencia en claves Run del usuario, contrastando cualquier alerta con la cadena descrita por Talos.

Revisar accesos anómalos a Outlook, OneDrive y Microsoft Graph desde equipos potencialmente afectados, preservando telemetría antes de tomar medidas de contención.

Usar los indicadores publicados por Talos como apoyo para la investigación, verificando vigencia y contexto antes de bloquear dominios o archivos.

Qué no se ha confirmado

La atribución a un actor vinculado con China es una evaluación de Talos basada en indicadores técnicos y operativos, no una identidad demostrada públicamente.

Talos distingue entornos afectados confirmados, probables y objetivos previstos; estas categorías no equivalen entre sí.

Talos no verificó de forma independiente una relación entre esta campaña de espionaje y la actividad financiera que Symantec asocia a Jewelbug.

Fuente

Cisco Talos. Fecha indicada: 2026-09-30.