✔Группировка HoneyMyte обновила бэкдор CoolClient и использует руткит уровня ядра Windows - «Новости»
Эксперты «Лаборатории Касперского» обнаружили новую версию бэкдора CoolClient, который APT-группировка HoneyMyte использует в своих шпионских кампаниях. Обновленная малварь использует подписанный драйвер режима ядра Windows, который позволяет скрывать и защищать процессы, файлы и объекты реестра, а также фильтровать сетевые данные.
HoneyMyte (также известная под названием Mustang Panda) — китайскоговорящая хак-группа, которая в основном атакует государственные организации в Европе и Азии. В отчете отмечается, что в 2026 году обновленный CoolClient уже применялся против государственных и частных организаций в России, Мьянме, Монголии, Пакистане и Индии.
Вредонос CoolClient известен экспертам как минимум с 2022 года, и за это время он заметно эволюционировал. Так, бэкдор способен фиксировать нажатия клавиш, перехватывать содержимое буфера обмена, похищать учетные данные, работать с файлами и собирать информацию о системе. Кроме того, его возможности можно дополнительно расширить за счет плагинов, а в версии, которую исследователи изучали в 2025 году, также появились перехват HTTP-трафика и дополнительные функции для кражи данных.
По данным специалистов, в новых атаках HoneyMyte сначала устанавливала на машины жертв PlugX, а уже через него разворачивала CoolClient. Перед установкой малвари злоумышленники добавляли в исключения Microsoft Defender поддельный каталог Windows Defender и файл defender.exe. Затем туда копировались компоненты CoolClient, а легитимная программа Sangfor переименовывалась в defender.exe и использовалась для DLL sideloading’а вредоносной библиотеки libngs.dll.
Для закрепления в системе атакующие создавали задачу планировщика, которая запускала defender.exe с правами SYSTEM при каждом старте Windows. После этого многоступенчатая цепочка атаки в итоге приводила к запуску основного вредоноса и установке драйвера msagent.sys.
Именно драйвер стал главной «новинкой» CoolClient. Компонент работает на уровне ядра и по сути превращает бэкдор группировки в руткит: он способен скрывать процессы, защищать файлы и разделы реестра от просмотра, изменения и удаления, а также ограничивать доступ к процессам малвари. Кроме того, драйвер перехватывает данные nsiproxy и способен удалять из сетевой информации IP-адрес управляющего сервера, затрудняя его обнаружение.
В общей сложности исследователи насчитали в драйвере 33 обработчика IOCTL, хотя в изученном образце CoolClient использовались только три. Остальные, среди прочего, поддерживают скрытие процессов и модулей ядра, внедрение шелл-кода, снятие защиты PPL и запись по произвольному адресу в памяти ядра.
При этом сам драйвер msagent.sys подписан старым сертификатом Nanjing Ranyi Technology, который действовал в 2013–2014 годах. В PDB-пути драйвера специалисты также нашли строки «Nanjing Laboratory» и «Zhang Xuejie Yunnan m», однако связать их с конкретными разработчиками или группировками пока не удалось.
«Если ранее CoolClient функционировал как обычный бэкдор в пользовательском режиме с поддержкой плагинов, то теперь он использует драйвер ядра и взаимодействует с ним, что существенно расширяет его возможности», — отмечает руководитель Kaspersky GReAT в Азии, Африке и на Ближнем Востоке Сергей Ложкин (Sergey Lozhkin). По его словам, новые механизмы позволяют малвари дольше оставаться в системе и заметно усложняют ее обнаружение и удаление.
