Mustang Panda porta CoolClient nel kernel Windows con un nuovo rootkit

🛡️ Executive Summary

• HoneyMyte aggiorna CoolClient con un driver kernel-mode firmato che protegge processi, file, registro e moduli dalla visibilità degli strumenti di sicurezza.
• La catena usa PlugX, DLL sideloading, UAC bypass e injection in synchost.exe prima di distribuire il nuovo componente rootkit.
• Le campagne osservate da Kaspersky colpiscono Pakistan, Mongolia e Myanmar; la difesa richiede hunting su driver, servizi, task e anomalie kernel.

HoneyMyte, gruppo APT noto anche come Mustang Panda, ha trasformato la backdoor CoolClient in uno strumento di spionaggio capace di operare direttamente nel kernel Windows. La nuova variante distribuisce un driver kernel-mode firmato, registrato come servizio, che comunica con il malware attraverso richieste IOCTL e permette di nascondere processi, proteggere file e chiavi di registro e ridurre la visibilità delle attività malevole. Kaspersky ha osservato questa evoluzione tra la fine del 2025 e il 2026 in compromissioni che interessano Pakistan, Mongolia e Myanmar. Il salto tecnico è rilevante perché sposta una parte fondamentale dell’evasione dal normale spazio utente al livello privilegiato del sistema operativo.

CoolClient evolve dalla backdoor al rootkit kernel

CoolClient non è una famiglia nuova. Il malware viene utilizzato da anni nelle operazioni di HoneyMyte e integra keylogging, furto degli appunti, raccolta delle credenziali, gestione dei file, ricognizione e plugin aggiuntivi. Una precedente evoluzione di CoolClient aveva già introdotto il furto delle credenziali dai browser, mentre la nuova versione analizzata da Kaspersky aggiunge un livello molto più profondo: un driver denominato Msagent.sys che opera direttamente nel kernel. Il rapporto tecnico di Kaspersky GReAT descrive un’architettura nella quale il componente user-mode invia al driver comandi specifici attraverso IOCTL, delegandogli le operazioni che richiedono maggiore invisibilità o controllo. Il driver registra callback per processi, oggetti, caricamento delle immagini, filesystem e registro e può intervenire sulle strutture utilizzate da Windows per enumerare risorse e connessioni. L’obiettivo è rendere più difficile individuare CoolClient e manipolarne i componenti anche quando un amministratore o un prodotto di sicurezza riesce a osservare il sistema. L’evoluzione conferma una direzione già emersa con HoneyMyte e l’adozione di rootkit kernel-mode nelle campagne contro governi asiatici: l’accesso al kernel non costituisce più una capacità occasionale, ma una componente sempre più integrata nel toolkit dell’APT.

PlugX prepara il terreno prima dell’installazione

Nella compromissione osservata in Myanmar, PlugX viene utilizzato come impianto già presente sull’endpoint per distribuire CoolClient. Prima dell’installazione, gli operatori aggiungono esclusioni a Microsoft Defender sia per una directory che imita quella del prodotto di sicurezza sia per l’eseguibile utilizzato nella catena. Viene quindi creata una falsa cartella Microsoft\Windows Defender, dentro la quale viene copiato un eseguibile legittimo Sangfor rinominato defender.exe.

Il programma benigno carica libngs.dll attraverso DLL sideloading. La DLL malevola decifra in memoria il secondo stadio loadcert.ini, responsabile della persistenza, dell’elevazione dei privilegi e dell’injection. Questa tecnica è già una costante nelle attività del gruppo: Mustang Panda ha utilizzato DLL sideloading anche nelle campagne LOTUSLITE contro organizzazioni finanziarie indiane, mentre l’abuso di Zoho WorkDrive contro governo ed energia in India ha mostrato la capacità dell’APT di combinare servizi legittimi, backdoor e infrastrutture difficili da distinguere dal normale traffico aziendale.

UAC bypass e process injection portano CoolClient dentro synchost.exe

Il secondo stadio verifica innanzitutto il contesto nel quale viene eseguito. Durante l’installazione crea una voce AutoRun nel registro e prepara il passaggio verso synchost.exe, processo nel quale viene iniettato il malware prima dell’avvio della fase successiva. Se i privilegi disponibili non sono sufficienti, CoolClient tenta anche un UAC bypass per rilanciarsi con diritti amministrativi. Una volta eseguito dentro synchost.exe, loadcert.ini decifra la configurazione, distribuisce il driver kernel e carica il payload finale cert.ini, incaricato delle comunicazioni C2 e delle normali funzioni della backdoor. La suddivisione in più stadi permette al gruppo di mantenere componenti differenti per loader, evasione, rootkit e controllo remoto, rendendo più difficile attribuire l’intera catena osservando un singolo file. Questa modularità è coerente con l’ampio utilizzo di PlugX nell’ecosistema delle operazioni cinesi: campagne recenti contro governi dell’Asia centrale hanno mostrato SilkLurk affiancare PlugX a backdoor personalizzate e strumenti di movimento laterale, dimostrando quanto il RAT continui a essere utilizzato come componente di supporto anche quando gli operatori dispongono di malware più sofisticati.

Il driver nasconde processi e protegge gli artefatti del malware

Msagent.sys amplia soprattutto le capacità di stealth. Il rootkit prepara strutture per nascondere processi e moduli kernel, registra callback sulle operazioni relative agli oggetti e protegge i processi selezionati da tentativi di apertura o modifica. Attraverso un MiniFilter filesystem può inoltre intervenire sull’accesso ai file associati alla compromissione, mentre una callback sul registro consente di nascondere o difendere le chiavi utilizzate da CoolClient. Un ulteriore meccanismo interessa nsiproxy, componente Windows collegato alla gestione delle informazioni di rete. Il hooking permette al malware di filtrare i dati restituiti alle applicazioni che cercano di enumerare connessioni, riducendo così la possibilità che amministratori e tool di analisi riconoscano immediatamente le comunicazioni del malware. Il principio è vicino alle tecniche BYOVD, nelle quali driver legittimi o vulnerabili vengono sfruttati per raggiungere il kernel e neutralizzare le difese. Operazioni criminali hanno già utilizzato driver vulnerabili per disabilitare EDR prima della distribuzione di Black Basta e driver Huawei per interrompere prodotti antivirus. Nel caso CoolClient, tuttavia, il componente kernel non viene impiegato semplicemente per uccidere un EDR: diventa parte stabile dell’architettura di persistenza ed evasione dello spyware.

Pakistan, Mongolia e Myanmar restano nel perimetro dello spionaggio

Kaspersky ha osservato la nuova variante in più Paesi asiatici, tra cui Pakistan, Mongolia e Myanmar, coerentemente con il targeting storico di HoneyMyte. Il gruppo viene associato da anni a operazioni contro governi, organizzazioni diplomatiche, difesa, telecomunicazioni e altri settori strategici dell’Asia. L’evoluzione verso il kernel aumenta soprattutto la durata potenziale della presenza. Una backdoor user-mode può essere individuata attraverso processi, file, registro o traffico; un rootkit capace di alterare proprio questi livelli di visibilità può ridurre l’efficacia degli strumenti che interrogano il sistema compromesso dall’interno. Questo non rende CoolClient invisibile: driver, servizi, task pianificati, sideloading, esclusioni Defender e anomalie nelle callback kernel continuano a offrire elementi utilizzabili durante threat hunting e incident response. La novità sta piuttosto nella profondità della difesa costruita attorno all’impianto. HoneyMyte non si limita più a nascondere una DLL o a scegliere un processo legittimo per l’injection, ma combina PlugX, sideloading, elevazione dei privilegi, process injection e controllo kernel. CoolClient diventa così una piattaforma di spionaggio multilivello nella quale ogni stadio prepara quello successivo e il rootkit protegge l’accesso già ottenuto.