Thought Leadership
Die Hackergruppe Mustang Panda erweitert ihre Backdoor CoolClient um ein signiertes Windows-Kernel-Rootkit zur besseren Tarnung.
Nach Angaben von Kaspersky wurden Opfer in Myanmar, der Mongolei, Pakistan und Russland identifiziert, darunter bestätigte Regierungseinrichtungen. CoolClient kam dabei durchgängig als zweite Backdoor nach einer vorherigen PlugX-Infektion zum Einsatz. Kaspersky erklärte dazu:
„Unsere Analyse bestätigt, dass es sich bei der untersuchten Schadsoftware um eine neue, der HoneyMyte-Gruppe zugeordnete CoolClient-Variante handelt. Während der grundsätzliche Ausführungsablauf mit zuvor dokumentierten CoolClient-Varianten übereinstimmt, führt dieses Sample einen zuvor nicht dokumentierten Kernel-Mode-Treiber ein, der die Tarnfähigkeiten der Schadsoftware erheblich erweitert.“
Kaspersky
In einer gegen Myanmar gerichteten Kampagne nutzte HoneyMyte PlugX als ersten, nach der eigentlichen Kompromittierung eingesetzten Implantat, um CoolClient nachzuladen. Dabei richteten die Angreifer Ausnahmen in Microsoft Defender für ein gefälschtes Windows-Defender-Verzeichnis ein und tarnten eine für DLL-Sideloading genutzte, umbenannte Programmdatei als defender.exe. Die eigentliche Ausführung beginnt, sobald eine legitime Sangfor-Anwendung eine bösartige Bibliothek namens libngs.dll lädt, die wiederum die zweite Stufe entschlüsselt und ausführt. Diese kümmert sich um Persistenz, Registry-Änderungen, die Umgehung der Windows-Benutzerkontensteuerung, Prozessinjektion, die Installation des Treibers sowie das Laden der finalen, für die Kontrollserver-Kommunikation zuständigen Komponente.
Backdoor: Digitale Signatur aus dem Jahr 2013
Sind die dafür nötigen Systemrechte vorhanden, extrahiert die Schadsoftware einen eingebetteten, komprimierten Kernel-Treiber, speichert ihn als msagent.sys und startet einen zugehörigen Treiberdienst. Kaspersky zufolge ist dieser Treiber digital signiert, mit einem für das Unternehmen Nanjing Ranyi Technology ausgestellten Zertifikat, das ursprünglich von August 2013 bis September 2014 gültig war. Das Sicherheitsunternehmen fand mehrere weitere, mit demselben Zertifikat signierte und um 2013 kompilierte bösartige Treiber, konnte jedoch keinen direkten Zusammenhang mit der aktuellen CoolClient-Kampagne nachweisen.
Einmal geladen, erhält der Treiber Konfigurationsdaten vom Nutzerraum-Teil von CoolClient über gezielte Steuerbefehle, etwa zur Registrierung des CoolClient-Prozesses als vertrauenswürdig, zur Übergabe der Kontrollserver-Adresse sowie zur Festlegung schützenswerter Datei- und Registry-Pfade. Insgesamt implementiert der Treiber laut Kaspersky 33 unterschiedliche Steuerbefehle, von denen im analysierten Sample im gewöhnlichen Betrieb jedoch nur drei tatsächlich genutzt wurden.
Prozesse werden aus der aktiven Liste entfernt
Zum eigentlichen Verstecken nutzt der Treiber mehrere Techniken gleichzeitig: Für den Schutz einzelner Prozesse kann er die einem anderen Prozess gewährten Zugriffsrechte gezielt einschränken, um etwa eine Beendigung oder Codeinjektion zu verhindern, im analysierten Fall betraf dies injizierten CoolClient-Code innerhalb des Prozesses synchost.exe. Zusätzlich entfernt der Treiber betroffene Prozesse direkt aus der aktiven Windows-Prozessliste, blockiert über einen Dateisystem-Minifilter den Zugriff auf geschützte Dateien und Verzeichnisse und entfernt geschützte Registry-Einträge aus den Ergebnissen regulärer Abfragen. Ein separater Eingriff im Windows-Treiber Nsiproxy filtert zudem die konfigurierten Kontrollserver-Adressen aus an den Nutzerraum zurückgegebenen Netzwerkinformationen heraus.
Der aktuelle Fund folgt gut sechs Monate, nachdem Kaspersky bereits im Januar 2026 über eine frühere CoolClient-Variante mit einem zuvor unbekannten Rootkit berichtet hatte, die gegen Pakistan und Myanmar eingesetzt wurde. Bereits im Dezember 2025 hatte Kaspersky zudem ein separates, davon unabhängiges Kernel-Mode-Rootkit derselben Gruppe dokumentiert, das zum Laden der Backdoor ToneShell diente. Nach Einschätzung von Kaspersky ähnelt der grundsätzliche Aufbau des neuen CoolClient-Treibers den damals beobachteten Kernel-Erweiterungen bei ToneShell.
(red)
