Mustang Panda rafforza CoolClient con un rootkit kernel difficile da rilevare

La nuova variante osservata in Pakistan, Mongolia e Myanmar

Kaspersky ha reso pubblica il 16 agosto 2026 un’analisi di una nuova variante di CoolClient, backdoor associata a HoneyMyte, conosciuto anche come Mustang Panda.

La novità principale è msagent.sys, un driver Windows firmato che opera in modalità kernel. Il componente viene installato come servizio e comunica con la backdoor in user mode attraverso richieste IOCTL. In questo modo CoolClient può nascondere processi, file, chiavi e valori di registro, moduli kernel e informazioni sulle connessioni di rete.

Le intrusioni analizzate hanno interessato Pakistan, Mongolia e Myanmar. L’insieme più ampio delle vittime comprende anche la Russia e soggetti governativi confermati.

CoolClient è noto pubblicamente dal 2022, quando era stato analizzato da Sophos. Trend Micro ne aveva pubblicato un’ulteriore analisi nel 2023, mentre nel 2025 Kaspersky aveva documentato l’aggiunta del furto degli appunti e dell’intercettazione del traffico HTTP per sottrarre credenziali.

La variante più recente conserva queste funzioni e aggiunge capacità di controllo a livello kernel. Nel caso osservato in Myanmar, gli operatori hanno usato PlugX come impianto post-compromissione iniziale, installando successivamente CoolClient.

Una catena di infezione costruita per sembrare legittima

Prima dell’esecuzione, gli operatori hanno aggiunto esclusioni a Microsoft Defender per una directory contraffatta e per l’eseguibile usato nel caricamento della DLL malevola.

La directory creata imita il percorso di Windows Defender:

Microsoft\Windows Defender

Al suo interno viene collocato un eseguibile legittimo di Sangfor, normalmente chiamato Sang.exe, che viene rinominato defender.exe. Il programma carica la DLL malevola libngs.dll tramite DLL sideloading, una tecnica che sfrutta il comportamento previsto di un’applicazione affidabile per eseguire codice non autorizzato.

La catena in user mode è composta da più elementi:

• libngs.dll, loader iniziale;
• loadcert.ini, secondo stadio cifrato;
• cert.ini, backdoor finale;
• time.ini, file di configurazione.

La DLL contraffatta espone funzioni che imitano quelle del componente originale. Le funzioni fittizie richiamano OutputDebugStringA e terminano, mentre il codice dannoso viene avviato da DllMain. Il loader decifra quindi loadcert.ini e lo carica direttamente in memoria.

Per la persistenza, il malware può creare un’attività pianificata che avvia defender.exe con privilegi SYSTEM. Può inoltre aggiungere una voce AutoRun o installare la backdoor come servizio Windows. Prima di scegliere quest’ultima modalità, verifica la presenza di prodotti di sicurezza, tra cui diversi processi di 360 Total Security.

CoolClient prepara anche l’elevazione dei privilegi e l’iniezione del payload in synchost.exe. La procedura combina RPC e parent-process spoofing, facendo apparire il processo malevolo come figlio di un processo legittimo e riducendo la probabilità che l’utente visualizzi una richiesta amministrativa.

Dopo l’elevazione, la backdoor estrae il driver compresso msagent.sys, lo installa come servizio e lo carica nel kernel.

Come msagent.sys altera la vista di Windows

CoolClient usa richieste IOCTL per configurare il driver. Attraverso questi comandi può registrare il proprio processo come attendibile, comunicare l’indirizzo IPv4 del server di comando e controllo e definire quali processi, file e chiavi debbano essere nascosti o protetti.

Il driver legge parte della configurazione da:

\REGISTRY\MACHINE\SYSTEM\RNG

Per occultare i moduli kernel, msagent.sys individua dinamicamente PsLoadedModuleList tramite MmGetSystemRoutineAddress. La struttura contiene l’elenco dei driver caricati; rimuovendo le relative voci, il rootkit impedisce agli strumenti standard di visualizzare determinati moduli.

Per nascondere i processi, il driver individua il campo ActiveProcessLinks nella struttura Windows EPROCESS. Può scollegare un processo dalla lista dei processi attivi e ripristinarlo in seguito. La ricerca dinamica del campo evita di dipendere da un offset fisso, che potrebbe cambiare tra versioni differenti di Windows.

Il driver registra inoltre callback relativi a oggetti, processi e caricamento delle immagini. Può così limitare l’accesso ai processi protetti, incluso il codice eseguito in synchost.exe. Un programma che tenta di aprire quel processo o uno dei suoi thread può ricevere permessi ridotti, rendendo difficili la terminazione e l’iniezione di codice.

La protezione dei file usa un filesystem minifilter. Le operazioni sul filesystem vengono confrontate con una lista di percorsi protetti e, quando corrispondono, l’accesso può essere negato. Un meccanismo simile protegge il registro: alcune chiavi e valori non compaiono durante l’enumerazione, mentre i tentativi di apertura, modifica o cancellazione possono restituire STATUS_ACCESS_DENIED.

Un toolkit kernel più ampio del necessario

Il campione contiene 33 gestori IOCTL, anche se durante l’uso ordinario ne sono stati osservati soltanto tre. Gli altri rivelano funzioni potenzialmente disponibili agli operatori:

• iniezione di shellcode;
• terminazione dei processi;
• rimozione della protezione PPL;
• modifica dei valori di registro;
• disattivazione dei callback di notifica del kernel;
• caricamento di altri driver;
• scrittura verso indirizzi arbitrari del kernel;
• occultamento di processi e moduli.

Kaspersky non ha osservato l’attivazione di tutte queste capacità. La loro presenza indica però che msagent.sys non è un semplice componente per nascondere file o processi: è un toolkit kernel che può ampliare il controllo sull’host secondo le esigenze dell’operatore.

Il driver interviene anche sulla visibilità delle connessioni. Filtra le informazioni restituite da Nsiproxy, il componente Windows che espone ai processi in user mode parte dei dati di rete. CoolClient trasmette al driver l’indirizzo IPv4 del proprio server C2; msagent.sys può poi rimuovere quella corrispondenza prima che venga restituita agli strumenti diagnostici.

La connessione con l’infrastruttura di comando e controllo può quindi restare attiva mentre i programmi che interrogano la rete dal livello user mode non mostrano l’indirizzo associato.

Cosa devono verificare i team di sicurezza

La sola ricerca di Sang.exe, defender.exe o libngs.dll non è sufficiente. Un’indagine dovrebbe includere servizi Windows, driver caricati, attività pianificate, chiavi AutoRun ed esclusioni configurate in Microsoft Defender.

Tra gli elementi da esaminare ci sono:

• defender.exe, Sang.exe, libngs.dll, loadcert.ini, cert.ini, time.ini e msagent.sys;
• modifiche a \REGISTRY\MACHINE\SYSTEM\RNG;
• anomalie nei processi e nei moduli associati a synchost.exe;
• tentativi di bypass dell’UAC, RPC e parent-process spoofing;
• caricamenti tramite DLL sideloading;
• driver firmati con il certificato collegato a Nanjing Ranyi Technology Co., Ltd.;
• indicatori riconducibili a PlugX e CoolClient.

Il certificato usato dal driver risulta valido dal 2013 al 2014. Sono stati individuati altri driver malevoli che lo utilizzavano, ma non è stato stabilito un collegamento diretto con CoolClient. Anche i riferimenti presenti nelle stringhe PDB, come “Nanjing Laboratory” e “Zhang Xuejie Yunnan m”, non dimostrano da soli l’identità dello sviluppatore o il coinvolgimento di uno specifico Paese.

Il contenimento dovrebbe basarsi su fonti indipendenti dal solo user mode. È opportuno confrontare le enumerazioni di processi, moduli, file, registro e rete usando strumenti offline o raccolte effettuate da un ambiente affidabile. La rimozione apparente della backdoor non consente di considerare pulito il sistema se il driver o altri meccanismi di persistenza restano presenti.

Non è indicata una patch specifica per CoolClient. Non è inoltre noto se questa minaccia o questa variante siano state inserite nel catalogo Known Exploited Vulnerabilities della CISA, né se esista una scadenza associata.

L’uso del kernel cambia il profilo operativo della minaccia: CoolClient non si limita più a spiare e gestire file, ma può modificare ciò che Windows rende visibile agli strumenti di sicurezza.