A Kaspersky publicou um relatório detalhado sobre uma campanha atribuída ao grupo HoneyMyte (também conhecido como Mustang Panda / Bronze President) em 2025, em que o ator passou a usar um rootkit em modo kernel como loader e mecanismo de proteção para o backdoor ToneShell.
O que foi observado
Segundo a análise, o componente malicioso atua como um mini-filter driver (arquivo ProjectConfiguration.sys) e incorpora dois payloads em modo usuário que são injetados posteriormente em processos de alto privilégio. O driver emprega técnicas de proteção para impedir remoção ou análise, incluindo interceptação de operações de arquivo e registro e bloqueio de ações de segurança. A Kaspersky conclui com alta confiança o vínculo com HoneyMyte, apoiada pelo uso do ToneShell como payload final.
Técnicas de persistência e ocultação
- Proteção de arquivo: o driver registra callbacks de pré-operação no Filter Manager e força falhas (STATUS_ACCESS_DENIED) para operações que possam renomear ou excluir o próprio binário.
- Proteção de chaves de registro: o malware registra callbacks de registro (CmRegisterCallbackEx) usando um mecanismo de altitude dinâmico para garantir a instalação do callback e bloquear modificações em chaves específicas.
- Proteção de processos: callbacks de ObRegisterCallbacks e PsSetCreateProcessNotifyRoutine limitam acessos a processos protegidos, setando DesiredAccess para 0 quando o PID está na lista interna.
Fluxo de implantação do ToneShell
A cadeia de ataque identifica um processo de alto privilégio (rodando como SeLocalSystemSid), injeta um pequeno carregador em svchost e, a seguir, injeta o backdoor ToneShell nesse processo. O ToneShell, comunicado por command-and-control registrados em avocadomechanism[.]com e potherbreference[.]com, usa comunicações raw TCP no porto 443 com um marcador que imita o header TLS (0x17 0x03 0x04), seguido de um campo de tamanho e payload cifrado por XOR rotativo.
Funcionalidade do backdoor
O ToneShell presente neste caso oferece um conjunto de comandos para upload/download de arquivos, shell remota via pipe, execução de comandos operados por ator e controle de sessão. A amostra descrita emprega um identificador único de host — verificando ou criando C:\ProgramData\MicrosoftOneDrive.tlb — para persistir seu identificador local.
Aspectos notáveis
- É a primeira amostra observada do ToneShell entregue por um loader em modo kernel, o que aumenta a sua resistência à detecção por soluções em modo usuário.
- O driver usa um certificado digital antigo (assinado em nome de Guangzhou Kingteller Technology Co., Ltd.) que, segundo o relatório, já aparece associado a múltiplos binários maliciosos.
Indicadores e investigação
A Kaspersky disponibiliza diversos indicadores de comprometimento, incluindo hashes associados a ProjectConfiguration.sys e os domínios C2. A recomendação é que equipes de resposta reservem análise de memória e forense volátil, pois o shellcode e payloads executam majoritariamente em memória.
Recomendações práticas (conforme Kaspersky)
- Implementar EDR com capacidades de análise de memória e detecção de injeção em processos de sistema.
- Monitorar conexões TCP suspeitas no porto 443 com padrões não-TLS e buscar domínios associados aos C2 revelados.
- Realizar varredura de drivers instalados e validar assinaturas digitais e origem dos certificados.
- Manter inventário de ferramentas e dispositivos que permitam instalação de drivers de terceiros e aplicar controles de whitelisting quando possível.
Limitações do relatório
A análise concentra-se em uma campanha regional e em amostras observadas durante 2025; o relatório não fornece número absoluto de vítimas por país além de referências geográficas (maior incidência na Ásia), nem detalhes sobre o vetor inicial de acesso em todos os casos — há suspeita de uso de máquinas previamente comprometidas para implantar o loader.
Conclusão
A evolução do HoneyMyte para usar loaders em modo kernel eleva o nível de desafio para detecção e resposta. Equipes de segurança devem priorizar capacidades de memory forensics, auditoria de drivers e monitoramento de tráfego atípico para identificar e mitigar essa ameaça.