Mustang Panda dùng rootkit Windows có chữ ký để ẩn CoolClient
"Kaspersky reported that Mustang Panda (HoneyMyte) is using an updated CoolClient backdoor paired with a signed Windows kernel-mode rootkit to hide processes, files, registry objects, and C2 network information. The malware is typically delivered after PlugX infection, and the new driver adds kernel-level stealth and protection for the implant; Kaspersky published hashes, paths, and C2 domains as IoCs."
Đây là mối đe dọa ẩn mình ở cấp kernel, làm giảm hiệu quả của công cụ phát hiện và ứng phó; có thể che giấu tiến trình, tệp và kết nối C2 trên máy bị nhiễm.
Có thể dẫn đến xâm nhập kéo dài, khó điều tra và tăng chi phí xử lý sự cố; đặc biệt đáng chú ý với cơ quan nhà nước và môi trường có dữ liệu nhạy cảm.
Kaspersky cho biết nhóm đe dọa HoneyMyte (Mustang Panda) đang triển khai biến thể mới của CoolClient backdoor kèm rootkit kernel-mode trên Windows có chữ ký số, nhằm ẩn tiến trình, tệp tin, đối tượng registry và thông tin mạng C2 khỏi hệ thống giám sát.
Theo phân tích, CoolClient thường xuất hiện như tải trọng thứ cấp sau khi nhiễm PlugX. Trong một chiến dịch nhắm vào Myanmar, kẻ tấn công đã dùng PlugX để cài các thành phần của CoolClient, thêm ngoại lệ cho Microsoft Defender, và tận dụng kỹ thuật DLL sideloading để thực thi giai đoạn tiếp theo. Khi có đủ quyền, mã độc có thể cài driver dưới dạng Windows service và điều khiển bằng các yêu cầu IOCTL.
Driver msagent.sys được ký số bằng chứng chỉ cấp cho Nanjing Ranyi Technology Co., Ltd. và có khả năng bảo vệ tiến trình, che giấu registry, chặn truy cập tệp và lọc địa chỉ C2 IPv4 khỏi thông tin mạng trả về cho người dùng.
Khuyến nghị: rà soát IoCs do Kaspersky công bố, kiểm tra dấu hiệu PlugX/CoolClient, giám sát SCM, SeTcbPrivilege, dịch vụ lạ và các thay đổi bất thường trong registry và driver.