Antino Casus Yazılımı Microsoft 365’i Komuta Merkezi Yapıyor

Asya genelindeki hükümet ve politika kuruluşları, Çin bağlantılı bir tehdit aktörünün orkestra ettiği yeni bir siber casusluk kampanyasının hedefi haline geldi. Bu kapsamlı saldırılar dizisinde, daha önce belgelenmemiş ve Antino casus yazılımı adı verilen sofistike bir arka kapı yazılımı kullanılıyor. En dikkat çekici yanı ise, Antino’nun komuta ve kontrol (C2) iletişimini yürütmek için Microsoft 365 hizmetlerini, özellikle Outlook ve OneDrive’ı aktif olarak kullanması. Bu durum, siber güvenlik dünyasında sıradan bulut hizmetlerinin kötüye kullanımına dair ciddi endişeleri beraberinde getiriyor.

Asya’yı Hedef Alan Siber Casusluk Faaliyetleri

Siber güvenlik uzmanları, UAT-11587 kod adıyla izlenen bu tehdit aktörünün faaliyetlerini Eylül 2025’ten bu yana takip ediyor. İlk olarak Tayvan’daki akademik çevreler, düşünce kuruluşları ve sivil toplum kuruluşları hedef alınmış olsa da, saldırıların kapsamı kısa sürede genişledi. Tayvan, Hindistan, Filipinler, Kamboçya, Pakistan, Tayland ve Myanmar gibi sekiz Asya ülkesinde toplam 16 farklı kuruluşu hedef alan UAT-11587, bölgesel güvenliği tehdit eden ciddi bir aktör olarak öne çıkıyor.

Siber güvenlik raporları, UAT-11587’nin Jewelbug adlı bir başka Çin bağlantılı grupla belirli düzeyde örtüşme gösterdiğini belirtiyor. Jewelbug’un taktiksel benzerlikleri ise CL-STA-0049, Earth Alux, Ink Dragon ve REF7707 gibi diğer Çin merkezli aktörlerle ilişkilendiriliyor. Bununla birlikte, siber güvenlik firmaları, UAT-11587’yi Jewelbug’un finansal motivasyonlu faaliyetlerinden ayrı bir tehdit grubu olarak değerlendirme eğiliminde. Bu ayrım, aktörün operasyonel odağının ve hedeflerinin finansal kazançtan ziyade siber casusluğa yönelik olduğunu gösteriyor.

Antino Backdoor’un Teknik Yapısı ve Çalışma Prensibi

Antino, Rust programlama diliyle yazılmış bir Windows arka kapı yazılımı olarak tanımlanıyor. Bu modern dil seçimi, yazılımın hem hızlı hem de güvenilir olmasını sağlıyor. Güvenlik araştırmacıları, Antino’nun geniş bir yelpazede kötü amaçlı yeteneklere sahip olduğunu ortaya koydu. Bunlar arasında, hedeflenen sistemler üzerinde kapsamlı keşif yapma, komut satırı ve PowerShell komutları çalıştırma, dosya transferleri gerçekleştirme, belleğe zararlı kod yükleme ve sistemde kalıcılık sağlama bulunuyor.

Antino’yu diğer zararlı yazılımlardan ayıran en önemli özellik, komuta ve kontrol (C2) kanalını oluşturma biçimi. Yazılım, iletişim için yalnızca Microsoft 365 ekosistemini kullanıyor. Bu, kötü amaçlı yazılımın, Microsoft Graph API’si aracılığıyla Outlook ve OneDrive ile etkileşime girerek komutlar alıp veri sızdırdığı anlamına geliyor. Bu yöntem, geleneksel kötü amaçlı trafik algılama yöntemlerini atlatmakta oldukça etkili oluyor, zira zararlı yazılımın ağ trafiği meşru Microsoft hizmetleri üzerinden gerçekleşiyor ve bu da tespiti zorlaştırıyor.

Çin Bağlantısının Kanıtları ve Hedef Kapsamı

UAT-11587 tehdit aktörünün Çin bağlantısı, çeşitli göstergelerle yüksek güvenilirlikle doğrulanıyor. Saldırılarda kullanılan yem belgelerindeki basitleştirilmiş Çince (zh-CN) dil ve meta veriler, bu bağlantının en belirgin kanıtlarından biri. Ayrıca, spear-phishing mesaj başlıklarında UTC+08:00 zaman diliminin kullanılması, Çin’deki operasyonel saatlerle tutarlılık gösteriyor. Bu teknik ayrıntılar, aktörün coğrafi kökenine dair önemli ipuçları sunuyor.

Kampanyanın hedefleme teması ve yem içerikleri de Çin bağlantılı aktörlerin çıkarlarıyla örtüşüyor. Tayvan’daki siyasi, yasama, sivil savunma ve politika araştırma konuları hedef alınırken, bölgesel hükümet, denizcilik, diplomatik ve güvenlik temaları da aktörün odak noktasında yer alıyor. Antino yapım çıktılarında görülen Cargo kayıt defteri yollarının rsproxy[.]cn gibi Çin anakarasına hizmet veren yüksek hızlı yerel aynalama hizmetlerine referans vermesi de bu iddiaları güçlendiriyor. Mayıs 2026’dan itibaren Suriye’deki kuruluşların da hedef alınmaya başlanması, aktörün operasyonel alanını Asya dışına taşıdığını gösteriyor ve küresel siber casusluk tehdidine dikkat çekiyor.

Kurumsal Savunma Mekanizmaları ve Siber Tehditlere Karşı Durmak

Antino gibi gelişmiş casus yazılımlara karşı kurumların savunma mekanizmalarını güçlendirmesi kritik önem taşıyor. Özellikle Microsoft 365 gibi yaygın bulut hizmetlerinin kötüye kullanılması, geleneksel güvenlik yaklaşımlarının yetersiz kalabileceğini gösteriyor. Kurumlar, e-posta ve bulut depolama hizmetlerinde anomalileri tespit etmek için gelişmiş izleme ve telemetri çözümlerini devreye sokmalı. Şüpheli oturum açma girişimleri, alışılmadık veri erişim kalıpları ve e-posta yönlendirme kuralları gibi işaretler, olası bir sızmanın erken göstergeleri olabilir.

Uç nokta koruma sistemlerinin güncel tutulması, ağ segmentasyonu, çok faktörlü kimlik doğrulamanın (MFA) zorunlu kılınması ve tüm çalışanlara yönelik düzenli siber güvenlik farkındalık eğitimleri, bu tür spear-phishing kampanyalarına karşı ilk savunma hattını oluşturuyor. Ayrıca, güvenlik ekiplerinin Microsoft 365 ortamlarındaki API aktivitelerini ve günlük kayıtlarını sürekli denetlemesi, Antino gibi zararlı yazılımların C2 trafiğini meşru işlemler arasında gizleme girişimlerini ortaya çıkarmaya yardımcı olacaktır.

Bulut Hizmetlerinin Artan Riski ve Sektöre Yansımaları

Antino casus yazılımının Microsoft 365’i komuta ve kontrol merkezi olarak kullanması, siber güvenlik sektörü için önemli bir dönüm noktasını temsil ediyor. Bu durum, siber saldırganların tespit edilmekten kaçınmak için giderek daha sofistike yöntemlere başvurduğunu ve meşru altyapıları kötüye kullandığını gösteriyor. Artık tehdit aktörleri, geleneksel kötü amaçlı yazılım indirme sunucuları yerine, dünya genelindeki milyonlarca işletme tarafından kullanılan güvenilir bulut platformlarını tercih edebiliyor.

Bu gelişme, kurumların bulut güvenlik stratejilerini yeniden değerlendirmesini zorunlu kılıyor. Sadece ağ çevresini korumak değil, aynı zamanda bulut hizmetlerinin içindeki aktiviteyi derinlemesine izlemek ve analiz etmek kaçınılmaz hale geldi. Güvenlik ürünleri ve hizmet sağlayıcıları da, bu yeni tehdit vektörlerine karşı daha etkin algılama ve yanıt mekanizmaları geliştirmek zorunda kalacak. Nihayetinde, bu tür saldırılar, siber güvenlik ekosisteminin sürekli evrim geçirdiğini ve adaptasyonun başarı için temel unsur olduğunu bir kez daha kanıtlıyor.