Il gruppo di minaccia noto come HoneyMyte, conosciuto anche come Mustang Panda, è stato osservato mentre distribuisce una versione aggiornata della backdoor CoolClient su sistemi Windows, introducendo una novità particolarmente critica per la sicurezza informatica: un rootkit in modalità kernel firmato digitalmente. Questa componente consente al malware di aumentare in modo significativo le capacità di stealth, nascondendo e proteggendo processi malevoli, file, oggetti di registro e perfino informazioni di rete legate al command and control.
Le infezioni analizzate hanno coinvolto vittime in più paesi, tra cui Myanmar, Mongolia, Pakistan e Russia, con riscontri anche in contesti governativi. In diversi scenari CoolClient viene impiegato come backdoor secondaria dopo una compromissione iniziale tramite PlugX, una catena di attacco che evidenzia una strategia modulare e persistente tipica delle campagne di cyber espionage.
Il driver kernel viene installato solo quando la backdoor ottiene accesso completo al Service Control Manager e dispone del privilegio SeTcbPrivilege. In mancanza di questi requisiti, il malware evita di installare il driver e procede con l’impianto finale, mantenendo comunque capacità operative da backdoor. Quando le condizioni sono soddisfatte, il componente intermedio estrae un driver compresso, lo salva come msagent.sys e lo avvia come servizio dedicato, abilitando funzioni avanzate di occultamento e difesa contro tentativi di rimozione.
Il rootkit comunica con la parte user mode tramite richieste IOCTL. Tra le azioni chiave ci sono la registrazione del processo CoolClient come trusted, la consegna dell’indirizzo IPv4 del server C2 e la definizione di percorsi di file system e registro da proteggere. Una volta attivo, il driver può ridurre i diritti di accesso concessi ad altri processi, impedendo terminazione e code injection su processi protetti, e può nascondere processi scollegandoli dalla lista attiva di Windows. Inoltre applica filtri su file e cartelle tramite un minifilter e altera i risultati di enumerazione del registro per rendere invisibili chiavi e valori selezionati. Un ulteriore meccanismo agisce sul driver Nsiproxy per filtrare dagli output verso user mode gli indirizzi IP configurati per il C2.