O grupo HoneyMyte atualizou sua backdoor CoolClient com um rootkit de nível de kernel para Windows. A mudança torna a investigação rotineira muito mais difícil para os defensores. Isso dá aos intrusos ferramentas projetadas para sobreviver a verificações de segurança comuns. A atividade visou organizações no Paquistão, Mongólia, Mianmar e Rússia, incluindo entidades governamentais.
Descoberta e evolução da ameaça
Pesquisadores da Securelist identificaram a nova variante durante investigações de final de 2025 e 2026. A Securelist disse em um relatório compartilhado com a Cyber Security News que o driver pode ocultar processos, arquivos, entradas de registro e conexões de comando e controle selecionadas, dando ao HoneyMyte mais ocultação em dispositivos Windows comprometidos.
Isso é significativo porque os componentes do kernel operam abaixo das utilidades de monitoramento. O CoolClient suporta registro de teclas, roubo de área de transferência, coleta de credenciais, verificações de sistema e manipulação de arquivos. Ele move parte da operação para o modo de kernel do Windows, onde pode interferir no que as ferramentas de segurança veem. Isso ajuda os atacantes a coletar inteligência e se mover dentro de um ambiente de vítima.
Vetor e exploração técnica
A cadeia de infecção começa depois que o PlugX já estabeleceu uma posição. Os atacantes criam uma pasta falsa do Windows Defender, adicionam exclusões para essa pasta e um executável renomeado, e depois usam um aplicativo legítimo da Sangfor renomeado como defender.exe para carregar o arquivo malicioso libngs.dll. Esse sideloading de DLL usa um programa real como cobertura e é descrito na campanha relatada do Mustang Panda junto com o uso repetido de aplicativos confiáveis.
Uma tarefa agendada pode iniciar o programa renomeado com privilégios SYSTEM na inicialização. O CoolClient também cria uma entrada AutoRun e, em alguns casos, um serviço chamado media_updaten. Ele injeta seu código em um processo chamado synchost.exe, uma grafia incomum que pode parecer próxima o suficiente de um processo normal do Windows para escapar de uma revisão apressada.
Com direitos de administrador, o malware decifra e escreve seu driver como msagent.sys, então o instala como um serviço de driver do Windows. Embora o driver carregue uma assinatura digital, essa assinatura não deve ser tratada como prova de segurança. O certificado foi emitido para Nanjing Ranyi Technology Co., Ltd. e havia expirado anos antes da campanha observada.
Impacto e alcance
O msagent.sys usa várias chamadas de callback do Windows para monitorar processos, código carregado, arquivos e atividade de registro. Ele pode reduzir os direitos que outros programas recebem quando tentam abrir o processo protegido do CoolClient. Isso pode bloquear tentativas de término, inspeção e injeção de código, deixando a backdoor ativa mesmo quando um analista identificou o processo suspeito.
Seu filtro de sistema de arquivos oculta pastas e arquivos escolhidos negando o acesso durante operações normais. Um callback de registro separado remove chaves e valores protegidos dos resultados de enumeração, enquanto recusa tentativas de abri-los, alterá-los ou excluí-los. O driver também pode desvincular um processo das listagens ativas de processos do Windows, para que uma lista de tarefas básica pode não mostrá-lo.
Medidas de mitigação recomendadas
As equipes devem tratar serviços de driver inesperados, diretórios de produtos de segurança falsos, exclusões incomuns do Defender e DLLs incompatíveis ao lado de aplicativos legítimos como pistas prioritárias. As equipes de segurança devem investigar tarefas agendadas e entradas AutoRun que iniciam defender.exe ou Sang.exe de locais incomuns, verificar assinaturas de driver e status de certificado, e coletar telemetria de nível de kernel em vez de confiar apenas em visualizações de processo e rede de modo de usuário.
A backdoor foi construída para espionar e tornar a investigação não confiável para os respondedores. A equipe deve monitorar atividades de driver não assinadas ou com certificados expirados. Implemente soluções de detecção de comportamento que monitorem chamadas de sistema do kernel. Revise as permissões de acesso aos diretórios do Windows Defender.
O que os CISOs devem fazer agora
Implemente monitoramento de integridade de arquivos para drivers do sistema. Audite serviços do Windows em busca de nomes suspeitos como msagent.sys. Verifique certificados de assinatura de código em todos os drivers carregados. Utilize ferramentas de análise de memória para detectar rootkits de kernel. Treine analistas de SOC para identificar anomalias em processos do kernel. Considere a segmentação de rede para limitar o movimento lateral caso uma infecção ocorra.
Perguntas frequentes
Como o rootkit se esconde? Ele usa callbacks do kernel para ocultar processos, arquivos e conexões de rede das ferramentas de monitoramento de usuário.
É necessário reiniciar? Sim, a remoção completa pode exigir reinicialização para descarregar o driver do kernel.
Quais são os IoCs principais? Arquivos msagent.sys, libngs.dll, e diretórios falsos do Windows Defender.