El grupo HoneyMyte desplegó una versión actualizada del backdoor CoolClient que incluye un rootkit de kernel firmado para ocultar procesos, archivos y comunicaciones C2. Según Kaspersky, este malware ha afectado a entidades gubernamentales en Myanmar, Mongolia, Pakistán y Rusia, siendo instalado generalmente después de una infección por PlugX. El rootkit utiliza un controlador llamado msagent.sys para evadir la detección y proteger los componentes maliciosos contra el análisis o la eliminación.





El actor de amenazas conocido como HoneyMyte ha sido observado desplegando una versión actualizada del backdoor CoolClient con un rootkit firmado en modo kernel de Windows que puede ocultar y proteger procesos maliciosos, archivos, objetos del registro e información de red de comando y control (C2).

El proveedor de ciberseguridad ruso Kaspersky afirmó que identificó víctimas en Myanmar, Mongolia, Pakistán y Rusia, incluidas entidades gubernamentales confirmadas, con CoolClient desplegado consistentemente como un backdoor secundario tras una infección de PlugX.

El componente del kernel se despliega cuando CoolClient tiene acceso total al Administrador de Control de Servicios (SCM) y al privilegio SeTcbPrivilege. Si no se cumplen estas condiciones, el malware omite el despliegue del controlador y procede al implante de la etapa final.

Kaspersky también ha publicado hashes de archivos, rutas y dominios C2 como indicadores de compromiso (IoCs).

"Nuestro análisis confirma que el malware investigado es una nueva variante de CoolClient asociada al grupo de amenazas HoneyMyte. Aunque el flujo de ejecución general sigue siendo consistente con las variantes de CoolClient documentadas anteriormente, esta muestra introduce un controlador en modo kernel no documentado previamente que expande significativamente las capacidades de sigilo del malware", afirmó Kaspersky.

Según el nuevo análisis de Kaspersky, la última variante de CoolClient puede instalar el controlador como un servicio de Windows y controlarlo desde el backdoor en modo usuario a través de solicitudes de control de entrada/salida (IOCTL).

CoolClient admite el registro de teclas (keylogging), el robo del portapapeles, la recolección de credenciales, la gestión de archivos, el reconocimiento del sistema y funcionalidad adicional entregada a través de complementos.

PlugX despliega los componentes de coolclient

En una campaña dirigida a Myanmar, Kaspersky señaló que HoneyMyte utilizó PlugX como el implante inicial posterior al compromiso para desplegar CoolClient, añadiendo exclusiones de Microsoft Defender para un directorio de instalación falso de Windows Defender y un ejecutable de sideloading renombrado.

El actor copió los componentes del malware en el directorio, renombró un ejecutable legítimo de Sangfor como defender.exe para el sideloading de DLL y estableció la persistencia a través de una tarea programada que lanzaba el binario con privilegios de SYSTEM durante el inicio del sistema.

La ejecución comienza cuando la aplicación legítima de Sangfor carga una libngs.dll maliciosa, que desencripta y ejecuta el componente de segunda etapa loadcert.ini. Este último gestiona la persistencia, modificaciones del registro, el bypass del Control de Cuentas de Usuario (UAC), la inyección de procesos, el despliegue del controlador y la carga del implante final cert.ini responsable de las comunicaciones C2 y la funcionalidad del backdoor.

El malware de segunda etapa crea una entrada de registro de AutoRun llamada goopdate y puede instalar un servicio de Windows llamado media_updaten. También implementa una técnica de creación de procesos basada en llamadas a procedimientos remotos (RPC) combinada con la suplantación del ID del proceso padre (PPID) para relanzarse en un contexto elevado antes de inyectarse en un proceso llamado synchost.exe.

El controlador firmado msagent.sys añade sigilo a nivel de kernel

Cuando los privilegios requeridos están disponibles, loadcert.ini extrae un controlador de kernel comprimido en LZMA, lo escribe en el disco como msagent.sys y crea e inicia un servicio de controlador llamado msagent.

Kaspersky afirmó que el controlador está firmado digitalmente con un certificado emitido a Nanjing Ranyi Technology Co., Ltd. que era válido desde agosto de 2013 hasta septiembre de 2014.

La empresa de seguridad dijo que identificó varios controladores maliciosos más antiguos firmados con el mismo certificado y compilados alrededor de 2013, aunque no encontró pruebas que conecten directamente esas muestras con la actividad de CoolClient.

Una vez cargado, el controlador recibe la configuración del componente de modo usuario de CoolClient a través de solicitudes IOCTL. Las tres solicitudes utilizadas por la muestra analizada durante la ejecución normal son:

* 0x222120, que registra el proceso actual de CoolClient como un proceso confiable ante el controlador.
* 0x2221E0, que pasa la dirección IPv4 de C2 configurada al controlador.
* 0x2220F0, que registra las rutas del sistema de archivos y del registro que deben ser protegidas.

La primera solicitud permite que el proceso CoolClient registrado acceda a archivos, claves de registro y procesos protegidos, mientras que la tercera registra su directorio de instalación y la ruta del registro del servicio para que esos objetos estén protegidos contra la inspección, modificación y eliminación.

El rootkit carga su configuración de sigilo desde \REGISTRY\MACHINE\SYSTEM\RNG y utiliza entradas de configuración separadas para directorios, archivos, claves y valores del registro, y procesos que deben ocultarse, protegerse o ignorarse.

Registra callbacks de sistema de archivos, registro, procesos, objetos y carga de imágenes que utilizan estas entradas al manejar la actividad en el sistema Windows infectado.

Para la protección de procesos, el controlador puede reducir los derechos de acceso concedidos cuando otro proceso intenta abrir un handle a un proceso protegido, evitando operaciones como la terminación y la inyección de código. En la muestra analizada, Kaspersky señaló que el proceso protegido contenía código de CoolClient inyectado en synchost.exe.

El controlador también implementa la ocultación de procesos al desvincular entradas de la lista de procesos activos de Windows, utiliza un minifiltro de sistema de archivos para denegar el acceso a archivos y directorios protegidos, y registra un callback de registro que elimina las claves y valores protegidos de los resultados de enumeración y bloquea los intentos de modificarlos o eliminarlos.

Un hook independiente instalado en el controlador Nsiproxy de Windows filtra las direcciones IPv4 de C2 configuradas de la información de red devuelta al modo usuario.

Kaspersky descubrió que msagent.sys implementa 33 manejadores IOCTL, incluyendo funcionalidad para ocultar procesos y módulos del kernel, manipular valores del registro e interactuar con callbacks de notificación del kernel.

Los investigadores dijeron que la muestra de CoolClient analizada invocó solo los tres IOCTL enumerados anteriormente durante la ejecución normal, sin observar el uso de los manejadores restantes.

Entre los indicadores compartidos por Kaspersky se encuentran los siguientes hashes:

* 2d7c8780e97409770a9d4f31c66c9d63 - msagent.sys
* 9460E150E1981D5C165043520c5c12fe - msagent.sys
* 9717f005c5fb98e08d2ad983d88f94ee - libngs.dll
* F518D8E5FE70D9090F6280C68A95998F - libngs.dll

Este desarrollo se produce más de seis meses después de que Kaspersky revelara que una variante más nueva de CoolClient utilizada en una campaña dirigida a Pakistán y Myanmar desplegaba y ejecutaba un rootkit no visto previamente en enero de 2026.

Kaspersky había documentado por separado un rootkit diferente en modo kernel de HoneyMyte en diciembre de 2025 que se utilizó para cargar el backdoor ToneShell. La empresa señaló que el diseño general del nuevo controlador de CoolClient es comparable a las mejoras en modo kernel vistas con ToneShell, mientras que el componente CoolClient expone manejadores IOCTL dedicados para la comunicación directa con el backdoor en modo usuario.

Fuente:
THN