Mustang Panda verstärkt CoolClient mit einem schwer erkennbaren Kernel-Rootkit

Neue Variante in Pakistan, der Mongolei und Myanmar beobachtet

Kaspersky veröffentlichte am 16. August 2026 eine Analyse einer neuen Variante von CoolClient, einer mit HoneyMyte, auch bekannt als Mustang Panda, verbundenen Backdoor.

Die wichtigste Neuerung ist msagent.sys, ein signierter Windows-Treiber, der im Kernel-Modus arbeitet. Die Komponente wird als Dienst installiert und kommuniziert über IOCTL-Anfragen mit der Backdoor im User Mode. Dadurch kann CoolClient Prozesse, Dateien, Registrierungsschlüssel und -werte, Kernel-Module sowie Informationen zu Netzwerkverbindungen verbergen.

Die analysierten Eindringversuche betrafen Pakistan, die Mongolei und Myanmar. Der größere Kreis der Opfer umfasst außerdem Russland sowie bestätigte Regierungsorganisationen.

CoolClient ist seit 2022 öffentlich bekannt, als Sophos die Malware analysierte. Trend Micro veröffentlichte 2023 eine weitere Analyse. 2025 dokumentierte Kaspersky zudem, dass die Malware um das Auslesen der Zwischenablage und das Abfangen von HTTP-Datenverkehr zum Diebstahl von Zugangsdaten erweitert wurde.

Die jüngste Variante behält diese Funktionen bei und ergänzt sie um Kontrollmöglichkeiten auf Kernel-Ebene. Im beobachteten Fall in Myanmar nutzten die Angreifer PlugX als erste Post-Compromise-Implantation und installierten anschließend CoolClient.

Eine Infektionskette, die auf Legitimität ausgelegt ist

Vor der Ausführung fügten die Angreifer Microsoft Defender-Ausschlüsse für ein gefälschtes Verzeichnis und die zum Laden der schädlichen DLL verwendete ausführbare Datei hinzu.

Das erstellte Verzeichnis imitiert den Pfad von Windows Defender:

Microsoft\Windows Defender

Darin wird eine legitime ausführbare Datei von Sangfor abgelegt, die üblicherweise Sang.exe heißt und in defender.exe umbenannt wird. Das Programm lädt die schädliche DLL libngs.dll per DLL-Sideloading. Dabei wird das vorgesehene Verhalten einer vertrauenswürdigen Anwendung ausgenutzt, um nicht autorisierten Code auszuführen.

Die User-Mode-Kette besteht aus mehreren Komponenten:

• libngs.dll, der initiale Loader;
• loadcert.ini, die verschlüsselte zweite Stufe;
• cert.ini, die finale Backdoor;
• time.ini, die Konfigurationsdatei.

Die gefälschte DLL stellt Funktionen bereit, die denen der Originalkomponente ähneln. Die Attrappenfunktionen rufen OutputDebugStringA auf und werden anschließend beendet, während der Schadcode über DllMain gestartet wird. Der Loader entschlüsselt anschließend loadcert.ini und lädt die Datei direkt in den Speicher.

Zur Persistenz kann die Malware eine geplante Aufgabe anlegen, die defender.exe mit SYSTEM-Rechten startet. Außerdem kann sie einen AutoRun-Eintrag hinzufügen oder die Backdoor als Windows-Dienst installieren. Vor der letztgenannten Option prüft sie, ob Sicherheitsprodukte vorhanden sind, darunter mehrere Prozesse von 360 Total Security.

CoolClient bereitet außerdem die Privilegienerweiterung und die Injektion der Payload in synchost.exe vor. Das Verfahren kombiniert RPC mit Parent-Process-Spoofing. Dadurch erscheint der schädliche Prozess als Kindprozess eines legitimen Prozesses, wodurch die Wahrscheinlichkeit sinkt, dass der Benutzer eine administrative Eingabeaufforderung sieht.

Nach der Privilegienerweiterung entpackt die Backdoor den komprimierten Treiber msagent.sys, installiert ihn als Dienst und lädt ihn in den Kernel.

Wie msagent.sys die Windows-Sicht verändert

CoolClient verwendet IOCTL-Anfragen zur Konfiguration des Treibers. Über diese Befehle kann die Malware ihren eigenen Prozess als vertrauenswürdig registrieren, die IPv4-Adresse des Command-and-Control-Servers übermitteln und festlegen, welche Prozesse, Dateien und Registrierungsschlüssel verborgen oder geschützt werden sollen.

Der Treiber liest einen Teil seiner Konfiguration aus:

\REGISTRY\MACHINE\SYSTEM\RNG

Um Kernel-Module zu verbergen, ermittelt msagent.sys PsLoadedModuleList dynamisch über MmGetSystemRoutineAddress. Diese Struktur enthält die Liste der geladenen Treiber. Entfernt der Rootkit-Treiber die entsprechenden Einträge, können Standardwerkzeuge bestimmte Module nicht mehr anzeigen.

Zum Verbergen von Prozessen ermittelt der Treiber das Feld ActiveProcessLinks in der Windows-Struktur EPROCESS. Er kann einen Prozess aus der Liste aktiver Prozesse entfernen und später wieder einfügen. Die dynamische Suche nach dem Feld verhindert eine Abhängigkeit von einem festen Offset, der sich zwischen verschiedenen Windows-Versionen ändern kann.

Der Treiber registriert außerdem Callbacks für Objekte, Prozesse und das Laden von Images. Dadurch kann er den Zugriff auf geschützte Prozesse beschränken, darunter den in synchost.exe ausgeführten Code. Ein Programm, das versucht, diesen Prozess oder einen seiner Threads zu öffnen, kann eingeschränkte Berechtigungen erhalten, wodurch das Beenden des Prozesses und die Code-Injektion erschwert werden.

Der Schutz von Dateien erfolgt über einen Dateisystem-Minifilter. Dateisystemoperationen werden mit einer Liste geschützter Pfade abgeglichen. Bei einer Übereinstimmung kann der Zugriff verweigert werden. Ein ähnlicher Mechanismus schützt die Registrierung: Bestimmte Schlüssel und Werte werden bei der Aufzählung nicht angezeigt, während Versuche, sie zu öffnen, zu ändern oder zu löschen, mit STATUS_ACCESS_DENIED beantwortet werden können.

Ein umfangreicheres Kernel-Toolkit als erforderlich

Das Sample enthält 33 IOCTL-Handler, obwohl im normalen Betrieb nur drei davon beobachtet wurden. Die übrigen Handler weisen auf potenziell verfügbare Funktionen hin:

• Injektion von Shellcode;
• Beenden von Prozessen;
• Entfernen des PPL-Schutzes;
• Ändern von Registrierungswerten;
• Deaktivieren von Benachrichtigungs-Callbacks des Kernels;
• Laden weiterer Treiber;
• Schreiben an beliebige Kernel-Adressen;
• Verbergen von Prozessen und Modulen.

Kaspersky beobachtete nicht die Aktivierung all dieser Funktionen. Ihre Präsenz zeigt jedoch, dass msagent.sys keine einfache Komponente zum Verbergen von Dateien oder Prozessen ist, sondern ein Kernel-Toolkit, das die Kontrolle über den Host je nach Bedarf des Angreifers erweitern kann.

Der Treiber beeinflusst außerdem die Sichtbarkeit von Verbindungen. Er filtert die von Nsiproxy zurückgegebenen Informationen. Dabei handelt es sich um eine Windows-Komponente, die Prozessen im User Mode einen Teil der Netzwerkdaten bereitstellt. CoolClient übermittelt dem Treiber die IPv4-Adresse seines C2-Servers. msagent.sys kann diese Zuordnung anschließend entfernen, bevor sie an Diagnosetools zurückgegeben wird.

Die Verbindung zur Command-and-Control-Infrastruktur kann dadurch aktiv bleiben, während Programme, die das Netzwerk aus dem User Mode abfragen, die zugehörige Adresse nicht anzeigen.

Was Sicherheitsteams prüfen sollten

Die alleinige Suche nach Sang.exe, defender.exe oder libngs.dll reicht nicht aus. Eine Untersuchung sollte Windows-Dienste, geladene Treiber, geplante Aufgaben, AutoRun-Schlüssel und in Microsoft Defender konfigurierte Ausschlüsse umfassen.

Zu den zu prüfenden Elementen gehören:

• defender.exe, Sang.exe, libngs.dll, loadcert.ini, cert.ini, time.ini und msagent.sys;
• Änderungen an \REGISTRY\MACHINE\SYSTEM\RNG;
• Auffälligkeiten bei Prozessen und Modulen im Zusammenhang mit synchost.exe;
• Versuche zur Umgehung der UAC sowie RPC und Parent-Process-Spoofing;
• Ladevorgänge per DLL-Sideloading;
• signierte Treiber mit dem Zertifikat von Nanjing Ranyi Technology Co., Ltd.;
• Indikatoren, die auf PlugX und CoolClient hindeuten.

Das für den Treiber verwendete Zertifikat war von 2013 bis 2014 gültig. Es wurden weitere schädliche Treiber gefunden, die dieses Zertifikat verwendeten. Ein direkter Zusammenhang mit CoolClient konnte jedoch nicht festgestellt werden. Auch die in den PDB-Strings enthaltenen Verweise wie „Nanjing Laboratory“ und „Zhang Xuejie Yunnan m“ belegen für sich genommen weder die Identität des Entwicklers noch die Beteiligung eines bestimmten Landes.

Die Eindämmung sollte sich auf Quellen stützen, die nicht ausschließlich vom User Mode abhängig sind. Prozess-, Modul-, Datei-, Registrierungs- und Netzwerkauflistungen sollten mit Offline-Tools oder aus einer vertrauenswürdigen Umgebung heraus verglichen werden. Das scheinbare Entfernen der Backdoor reicht nicht aus, um ein System als bereinigt einzustufen, solange der Treiber oder andere Persistenzmechanismen vorhanden bleiben.

Für CoolClient ist kein spezifischer Patch angegeben. Ebenso ist nicht bekannt, ob diese Bedrohung oder diese Variante in den Katalog Known Exploited Vulnerabilities der CISA aufgenommen wurde oder ob dafür eine Frist besteht.

Der Einsatz im Kernel verändert das operative Profil der Bedrohung: CoolClient beschränkt sich nicht mehr darauf, Daten auszuspionieren und Dateien zu verwalten, sondern kann beeinflussen, was Windows den Sicherheitstools sichtbar macht.