O threat actor conhecido como HoneyMyte, também chamado de Mustang Panda, foi observado distribuindo uma versão atualizada do backdoor CoolClient com um rootkit assinado para o modo kernel do Windows, capaz de ocultar e proteger processos maliciosos, arquivos, objetos do Registro e informações de rede de comando e controle (C2).
A empresa russa de cibersegurança Kaspersky informou que identificou vítimas em Myanmar, Mongólia, Paquistão e Rússia, incluindo entidades governamentais confirmadas, com o CoolClient sendo implantado de forma consistente como um backdoor secundário após uma infecção por PlugX.
O componente para kernel é implantado quando o CoolClient obtém acesso total ao Service Control Manager (SCM) e ao privilégio SeTcbPrivilege. Se essas condições não forem atendidas, o malware ignora a implantação do driver e prossegue para o implant final.
A Kaspersky também publicou hashes de arquivos, caminhos e domínios C2 como indicadores de comprometimento (IoCs).
"Nosso análise confirma que o malware investigado é uma nova variante do CoolClient associada ao grupo de ameaça HoneyMyte. Embora o fluxo geral de execução permaneça consistente com variantes do CoolClient já documentadas, esta amostra introduz um driver para o modo kernel até então não documentado, o que amplia de forma significativa as capacidades de furtividade do malware", afirmou a Kaspersky.
Segundo a nova análise da empresa, a versão mais recente do CoolClient pode instalar o driver como um serviço do Windows e controlá-lo a partir do backdoor em modo usuário por meio de solicitações de controle de entrada e saída (IOCTL).
O CoolClient oferece suporte a captura de teclas, roubo da área de transferência, coleta de credenciais, gerenciamento de arquivos, reconhecimento do sistema e funcionalidades adicionais entregues por meio de plugins.
**PlugX implanta os componentes do CoolClient**
Em uma campanha voltada a Myanmar, a Kaspersky afirmou que o HoneyMyte usou o PlugX como o implant inicial após o comprometimento para distribuir o CoolClient, adicionando exclusões no Microsoft Defender para um diretório falso de instalação do Windows Defender e para um executável renomeado usado no sideloading.
O threat actor copiou os componentes do malware para o diretório, renomeou um executável legítimo da Sangfor para defender.exe para sideloading de DLL e estabeleceu persistência por meio de uma tarefa agendada que iniciava o binário com privilégios SYSTEM durante a inicialização do sistema.
A execução começa quando o aplicativo legítimo da Sangfor carrega uma libngs.dll maliciosa, que descriptografa e executa o componente de segunda etapa loadcert.ini. Esse componente trata de persistência, modificações no Registro, evasão do Controle de Conta de Usuário (UAC), injeção de processos, implantação do driver e carregamento do implant final cert.ini, responsável pelas comunicações com o C2 e pela funcionalidade de backdoor.
O malware da segunda etapa cria uma entrada AutoRun no Registro chamada goopdate e pode instalar um serviço do Windows chamado media_updaten. Ele também implementa uma técnica de criação de processos baseada em RPC, combinada com falsificação do ID do processo pai (PPID), para se relançar em contexto elevado antes de injetar código em um processo chamado synchost.exe.
**Driver msagent.sys assinado adiciona furtividade em nível de kernel**
Quando os privilégios necessários estão disponíveis, o loadcert.ini extrai um driver de kernel embutido compactado com LZMA, grava-o em disco como msagent.sys e cria e inicia um serviço de driver chamado msagent.
A Kaspersky informou que o driver é digitalmente assinado com um certificado emitido para a Nanjing Ranyi Technology Co., Ltd., válido de agosto de 2013 a setembro de 2014.
A empresa disse ter identificado vários drivers maliciosos mais antigos assinados com o mesmo certificado e compilados por volta de 2013, embora não tenha encontrado evidências que conectem diretamente essas amostras à atividade do CoolClient.
Depois de carregado, o driver recebe configuração do componente do CoolClient em modo usuário por meio de solicitações IOCTL. As três solicitações usadas pela amostra analisada durante a execução normal são:
0x222120, que registra o processo atual do CoolClient como um processo confiável para o driver.
0x2221E0, que passa ao driver o endereço IPv4 do C2 configurado.
0x2220F0, que registra caminhos do sistema de arquivos e do Registro que devem ser protegidos.
A primeira solicitação permite que o processo do CoolClient registrado acesse arquivos, chaves do Registro e processos protegidos, enquanto a terceira registra o diretório de instalação e o caminho de Registro do serviço para que esses objetos sejam protegidos contra inspeção, modificação e exclusão.
O rootkit carrega sua configuração de furtividade a partir de \REGISTRY\MACHINE\SYSTEM\RNG e usa entradas separadas de configuração para diretórios, arquivos, chaves e valores do Registro, além de processos que devem ser ocultados, protegidos ou ignorados.
Ele registra callbacks de sistema de arquivos, Registro, processos, objetos e carregamento de imagens que usam essas entradas ao lidar com atividades no sistema Windows infectado.
Para proteção de processos, o driver pode reduzir os direitos de acesso concedidos quando outro processo tenta abrir um identificador para um processo protegido, impedindo operações como encerramento e injeção de código. Na amostra analisada, a Kaspersky afirmou que o processo protegido continha código do CoolClient injetado em synchost.exe.
O driver também implementa ocultação de processos ao remover entradas da lista ativa de processos do Windows, usa um minifiltro de sistema de arquivos para negar acesso a arquivos e diretórios protegidos e registra um callback de Registro que remove chaves e valores protegidos dos resultados de enumeração e bloqueia tentativas de modificá-los ou excluí-los.
Um hook separado instalado no driver Nsiproxy do Windows filtra endereços IPv4 do C2 configurados nas informações de rede retornadas ao modo usuário.
A Kaspersky descobriu que o msagent.sys implementa 33 manipuladores IOCTL, incluindo funcionalidades para ocultar processos e módulos do kernel, manipular valores do Registro e interagir com callbacks de notificação do kernel.
Os pesquisadores disseram que a amostra analisada do CoolClient acionou apenas as três IOCTLs listadas acima durante a execução normal, sem que os demais manipuladores fossem observados em uso.
Entre os indicadores compartilhados pela Kaspersky estão os seguintes hashes:
2d7c8780e97409770a9d4f31c66c9d63, msagent.sys
9460E150E1981D5C165043520c5c12fe, msagent.sys
9717f005c5fb98e08d2ad983d88f94ee, libngs.dll
F518D8E5FE70D9090F6280C68A95998F, libngs.dll
A descoberta ocorre mais de seis meses depois de a Kaspersky revelar que uma variante mais recente do CoolClient, usada em uma campanha contra Paquistão e Myanmar, descartou e executou um rootkit até então desconhecido.
Separadamente, a Kaspersky havia documentado em dezembro de 2025 outro rootkit para o modo kernel do HoneyMyte, usado para carregar o backdoor ToneShell. A empresa disse que o design geral do novo driver do CoolClient é comparável aos aprimoramentos em nível de kernel vistos no ToneShell, enquanto o componente do CoolClient expõe manipuladores IOCTL dedicados para comunicação direta com o backdoor em modo usuário.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...