Il gruppo HoneyMyte, noto come Mustang Panda, ha distribuito a partire dal 14 agosto 2026 una variante aggiornata del backdoor CoolClient potenziata da un driver rootkit in modalità kernel. Il componente, denominato msagent.sys e firmato con un certificato scaduto di Nanjing Ranyi Technology Co., Ltd., eleva la posta per i difensori: non più semplice evasione di prodotti di sicurezza, ma sovranità diretta sulle primitive di visibilità di Windows.
- HoneyMyte (Mustang Panda) ha distribuito una variante aggiornata di CoolClient con driver rootkit firmato
msagent.sys, secondo l'analisi di Kaspersky GReAT. - Il driver implementa 33 gestori IOCTL, di cui tre osservati in esercizio: registrazione processo fidato (0x222120), passaggio indirizzo C2 (0x2221E0) e protezione percorsi file/registry (0x2220F0).
- La firma utilizza un certificato di Nanjing Ranyi Technology Co., Ltd. valido da agosto 2013 a settembre 2014, conferendo al driver caratteristiche di legittimità formale agli occhi di Windows Driver Signature Enforcement.
- Vittime confermate in Myanmar, Mongolia, Pakistan e Russia, con entità governative identificate nella telemetria Kaspersky.
Come funziona il rootkit msagent.sys
Il driver si installa come servizio Windows denominato msagent e stabilisce con il backdoor user-mode un canale IOCTL dedicato. Tre codici dominano il traffico osservato: 0x222120 per registrare un processo come "fidato", 0x2221E0 per comunicare l'indirizzo IPv4 del server di comando e controllo, 0x2220F0 per blindare file e chiavi di registro dalla lettura e modifica.
La tecnica di occultamento dei processi non si limita a API-hooking in user-mode. Il driver manipola direttamente ActiveProcessLinks nella struttura EPROCESS del kernel, scollegando il processo bersaglio dalla lista circolare che strumenti come Task Manager e molti EDR attraversano. Per mantenere compatibilità tra versioni di Windows, l'offset del campo viene risolto dinamicamente anziché hardcodato.
La protezione dei file avviene tramite minifiltro del filesystem, che nega l'accesso a percorsi specificati indipendentemente dai privilegi del richiedente. Per il registro, il driver registra una callback via CmRegisterCallbackEx che rimove le chiavi protette dalle enumerazioni e blocca operazioni di modifica o eliminazione. Il canale C2, infine, viene nascosto intercettando le query al driver Nsiproxy: l'indirizzo IPv4 configurato viene filtrato prima che le informazioni di rete raggiungano lo user-mode.
Il driver espone 33 gestori IOCTL in totale, ma solo tre sono risultati attivi nei campioni analizzati. I rimanenti implementano funzionalità latenti: iniezione di shellcode, occultamento di moduli kernel, terminazione processo, rimozione della protezione PPL (Protected Process Light) e scritture dirette in memoria kernel.
La catena di infezione e il certificato scaduto
Nelle intrusioni documentate da Kaspersky, CoolClient non è il primo ingresso. Il gruppo impiega PlugX come impianto iniziale post-compromissione, quindi dispiega CoolClient come backdoor secondario con capacità rootkit. La persistenza si ottiene tramite scheduled task camuffata da "Windows Defender Advanced Threat Protection Service", eseguita con privilegi SYSTEM, e voce AutoRun goopdate.
Il side-loading DLL sfrutta un eseguibile legittimo di Sangfor, rinominato defender.exe, che carica la libreria dannosa libngs.dll. Prima del dispiegamento, vengono aggiunte esclusioni a Microsoft Defender per una directory contraffatta di Windows Defender. Una variante recente ha spostato l'iniezione da write.exe a synchost.exe; il bypass UAC utilizza una tecnica basata su RPC con spoofing del parent process ID.
Il certificato di firma, rilasciato a Nanjing Ranyi Technology Co., Ltd. con validità agosto 2013 – settembre 2014, risulta scaduto ma formalmente valido per le verifiche di Windows che accettano certificati non revocati entro i propri criteri. Secondo Kaspersky, non è possibile stabilire se il certificato sia stato rubato, trafugato o ottenuto fraudolentemente. Il percorso PDB incorporato nel driver contiene stringhe cinesi: 南京实验室 (Nanjing Laboratory) e 张雪杰云南m (Zhang Xuejie Yunnan m), che potrebbero riflettere l'ambiente di sviluppo o rappresentare un'operazione di depistaggio.
"Our analysis confirms that the investigated malware is a new CoolClient variant associated with the HoneyMyte threat group. While the overall execution flow remains consistent with previously documented CoolClient variants, this sample introduces a previously undocumented kernel-mode driver that significantly expands the malware's stealth capabilities." — Kaspersky GReAT, via The Hacker News
Confronto con ToneShell e l'evoluzione del toolkit
L'architettura del driver CoolClient presenta parallelismi con il rootkit kernel-mode documentato da Kaspersky per ToneShell nel dicembre 2025. In quel caso il driver si chiamava ProjectConfiguration.sys e utilizzava un certificato diverso (Guangzhou Kingteller). Il percorso evolutivo è coerente: entrambi i progetti HoneyMyte abusano driver firmati per elevare il controllo sul sistema operativo, ma il driver CoolClient espone un'interfaccia IOCTL dedicata che permette al backdoor user-mode di dialogare direttamente con il kernel senza intermediari.
A gennaio 2026 era già emersa una variante CoolClient con "rootkit precedentemente non osservato", secondo la documentazione di Kaspersky. Il rapporto temporale e funzionale tra quel componente e msagent.sys di agosto 2026 non è stato chiarito: potrebbero trattarsi di driver distinti o di iterazioni successive dello stesso progetto.
La commoditizzazione di queste tecniche all'interno del toolkit Mustang Panda suggerisce che l'adozione di rootkit firmati non resterà circoscritta a singole campagne. L'investimento in driver cross-versione, con risoluzione dinamica delle strutture kernel, indica un'intenzionalità a lungo termine piuttosto che un esperimento isolato.
Cosa fare adesso
- Verificare nella telemetria EDR la presenza di servizi denominati
msagentcon driver firmato da Nanjing Ranyi Technology Co., Ltd. o con hash corrispondenti ai valori pubblicati da Kaspersky:2d7c8780e97409770a9d4f31c66c9d63e9460E150E1981D5C165043520C5C12FE. - Indagare su scheduled task con nomi che mimano servizi Microsoft, in particolare "Windows Defender Advanced Threat Protection Service" eseguiti con privilegi SYSTEM.
- Controllare la presenza di esclusioni anomale in Microsoft Defender per directory fittizie di Windows Defender, precedenti all'eventuale rilevamento di componenti CoolClient.
- Adottare tecniche di forense a livello kernel e analisi della memoria per rilevare processi nascosti tramite manipolazione di
ActiveProcessLinks, data la possibile inefficacia dei controlli user-mode contro questo specifico meccanismo.
Perché questo cambia il confine della detection
L'arrivo di msagent.sys segnala uno spostamento tattico rilevante. Fino a poco tempo fa, Mustang Panda si concentrava su tecniche di evasione in user-mode: side-loading, process injection, bypass UAC. Con CoolClient equipaggiato di rootkit kernel, il gruppo attacca le fondamenta stesse della visibilità che Windows offre ai difensori. EDR, strumenti forensi tradizionali e query WMI/PowerShell diventano potenzialmente ciechi di fronte a un attore che controlla cosa il kernel riporta allo user-mode.
La scelta di un certificato scaduto ma non revocato è funzionale: elude i controlli di firma senza richiedere vulnerabilità zero-day nel loader di Windows. Le vittime in Russia, insieme ai consueti bersagli del Sud-Est asiatico, indicano che la campagna non segue una logica regionale stretta ma piuttosto obiettivi di interesse strategico selezionati.
Restano zone d'ombra. Non è noto se i 30 gestori IOCTL non osservati siano stati attivati in altre intrusioni o rappresentino una riserva per campioni futuri. Non emerge, allo stato attuale, una sovrapposizione infrastrutturale che colleghi direttamente il certificato Nanjing Ranyi ad altri gruppi o campagne documentate. La natura dei dati esposti nelle intrusioni non è stata dettagliata nei report pubblicati.
Il breve non documenta misure correttive specifiche rilasciate dai vendor di sicurezza. La telemetria Kaspersky indica dieci domini C2 attivi nella campagna, tra cui cloudtroe.giize[.]com e employers.theworkpc[.]com.
Fonti
- https://securityaffairs.com/197274/apt/mustang-panda-upgrades-coolclient-with-a-kernel-rootkit.html
- https://thehackernews.com/2026/08/mustang-panda-adds-signed-windows.html
- https://www.brinztech.com/breach-alerts/brinztech-alert-honeymyte-mustang-panda-upgrades-coolclient-backdoor-with-signed-kernel-mode-rootkit
- https://betanews.com/article/honeymyte-coolclient-kernel-rootkit/
- https://securelist.com/honeymyte-coolclient-driver-rootkit/121028/
- https://cyberpress.org/honeymyte-rootkit-hides-c2/?amp
- https://securelist.com/honeymyte-kernel-mode-rootkit/118590/
- https://thehackernews.com/2026/06/mustang-panda-uses-zoho-workdrive-as.html
- https://thehackernews.com/2024/02/mustang-panda-targets-asia-with.html
- https://thehackernews.com/2026/01/mustang-panda-deploys-updated.html
- https://thehackernews.com/2025/12/mustang-panda-uses-signed-kernel-driver.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.