Mustang Panda adiciona rootkit assinado ao backdoor CoolClie

O que aconteceu?

A Kaspersky divulgou em 14 de agosto de 2026 uma análise sobre uma evolução do malware CoolClient, backdoor utilizado em operações atribuídas ao grupo HoneyMyte, conhecido também como Mustang Panda.

O CoolClient já era conhecido por possuir recursos como:

registro de teclas digitadas;
roubo da área de transferência;
coleta de credenciais;
gerenciamento de arquivos;
reconhecimento do sistema;
carregamento de funcionalidades adicionais através de plugins.

A principal novidade encontrada pelos pesquisadores é a capacidade de instalar um driver em modo kernel do Windows, transformando parte do malware em um rootkit capaz de operar em uma camada muito mais privilegiada do sistema operacional.

O que é um rootkit em modo kernel?

O kernel é uma das partes mais privilegiadas do sistema operacional.

Ele controla recursos fundamentais como processos, memória, dispositivos, arquivos e comunicação entre componentes do sistema.

Um rootkit que consegue executar nessa camada pode interferir diretamente na maneira como o Windows apresenta informações para aplicações e ferramentas de segurança.

Em termos simples

Em vez de apenas tentar esconder um arquivo dentro de uma pasta, o malware consegue interferir nos próprios mecanismos usados pelo Windows para listar:

processos;
arquivos;
chaves do Registro;
módulos carregados;
determinadas informações de rede.

Isso pode tornar a ameaça muito mais difícil de identificar e remover.

Como a infecção funciona?

Em uma das campanhas analisadas em Myanmar, a Kaspersky observou o PlugX sendo utilizado como implante inicial após o comprometimento da vítima.

Depois disso, os invasores preparavam o ambiente para instalar o CoolClient.

Antes da execução, o grupo adicionou exclusões ao Microsoft Defender para um diretório falso que imitava uma instalação legítima do Windows Defender e para o executável utilizado na cadeia de ataque.

DLL sideloading é usado para iniciar o malware

Os atacantes utilizam uma aplicação legítima da empresa Sangfor, renomeada em algumas situações como:

defender.exe

Esse programa legítimo é utilizado para carregar uma DLL maliciosa chamada:

libngs.dll

através de uma técnica conhecida como DLL sideloading.

O DLL sideloading explora o comportamento de programas legítimos que procuram determinadas bibliotecas em diretórios específicos.

Se o criminoso posicionar uma DLL maliciosa no local esperado, a aplicação confiável pode acabar carregando o código do atacante.

A cadeia possui diferentes estágios

A execução do CoolClient analisada pela Kaspersky utiliza vários componentes.

Entre eles estão:

libngs.dll

responsável por carregar e descriptografar o próximo estágio;

loadcert.ini

responsável por persistência, manipulação do Registro, elevação de privilégios, injeção de processos e instalação do driver;

cert.ini

implante final relacionado à comunicação com a infraestrutura C2 e às funcionalidades do backdoor.

O malware também utiliza um arquivo de configuração chamado:

time.ini

Persistência e privilégios elevados

A Kaspersky identificou diferentes formas utilizadas pelo CoolClient para permanecer ativo no computador.

Uma delas cria uma entrada no Registro em:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

utilizando o nome:

goopdate

Essa configuração permite iniciar novamente componentes do malware quando o usuário entra no Windows.

Na campanha em Myanmar, os pesquisadores também observaram uma tarefa agendada configurada para executar o componente malicioso com privilégios SYSTEM durante a inicialização do computador.

Malware injeta código em outro processo

Outro estágio injeta componentes do CoolClient dentro de um processo chamado:

synchost.exe

A Kaspersky afirma que versões anteriores utilizavam outro processo e que essa variante passou a utilizar o synchost.exe dentro da sua cadeia de execução.

Também foi observada uma técnica baseada em RPC associada a PPID spoofing, utilizada durante o processo de execução elevada.

O objetivo dessas técnicas é fazer com que a execução maliciosa se misture melhor aos processos existentes no sistema e dificulte a análise.

Driver msagent.sys leva o ataque para o kernel

Quando determinadas condições de privilégio são atendidas, o CoolClient extrai um driver comprimido e o grava no computador com o nome:

msagent.sys

Depois disso, cria um serviço de driver chamado:

msagent

O driver é então controlado pelo componente do CoolClient executado em modo usuário através de comandos IOCTL, mecanismo legítimo utilizado para comunicação entre aplicações e drivers no Windows.

O driver possui assinatura digital

A Kaspersky identificou que o msagent.sys analisado possui uma assinatura digital associada a um certificado emitido para:

Nanjing Ranyi Technology Co., Ltd.

O certificado foi válido entre agosto de 2013 e setembro de 2014.

Os pesquisadores encontraram outros drivers maliciosos antigos assinados com o mesmo certificado, mas afirmaram não possuir evidências suficientes para relacionar diretamente essas amostras antigas à atividade atual do CoolClient.

Essa distinção é importante: o compartilhamento de um certificado não comprova automaticamente que todas as amostras foram produzidas pelo mesmo operador.

O que o rootkit consegue esconder?

Segundo a análise, o driver consegue receber configurações do CoolClient para determinar quais elementos devem ser protegidos ou ocultados.

Isso inclui:

processos;
diretórios;
arquivos;
chaves do Registro;
valores do Registro;
determinados módulos do kernel.

Proteção de processos

Quando outra aplicação tenta acessar um processo protegido, o driver pode reduzir as permissões concedidas.

Isso pode impedir operações como:

encerramento do processo;
modificação;
injeção de código.

No caso analisado, essa proteção era aplicada ao processo contendo o código injetado do CoolClient.

Ocultação de processos

O rootkit também consegue manipular estruturas internas utilizadas pelo Windows para manter informações sobre processos ativos.

Segundo a Kaspersky, o driver pode remover determinados processos da lista de processos ativos apresentada pelo sistema.

Na prática, isso pode fazer com que um processo continue sendo executado mesmo sem aparecer normalmente em determinadas ferramentas de enumeração.

Arquivos e Registro também podem ser protegidos

O driver registra um filesystem minifilter, recurso legítimo do Windows utilizado para interceptar operações realizadas sobre arquivos.

Nesse caso, ele pode bloquear tentativas de acesso a determinados arquivos e diretórios utilizados pelo malware.

Também existe um callback relacionado ao Registro do Windows.

Esse mecanismo consegue remover chaves e valores protegidos dos resultados retornados durante a enumeração e impedir tentativas de alteração ou exclusão.

Rootkit também tenta ocultar informações de rede

Outro recurso interessante encontrado pela Kaspersky está relacionado ao driver:

Nsiproxy

O malware instala um hook capaz de filtrar determinados endereços IPv4 relacionados aos servidores de Command and Control antes que essas informações sejam retornadas para aplicações em modo usuário.

Isso significa que uma ferramenta executada normalmente no Windows pode não visualizar determinadas conexões da mesma maneira que visualizaria em um sistema não comprometido.

Driver possui dezenas de comandos

A Kaspersky identificou 33 handlers IOCTL implementados no driver.

Esses comandos oferecem funcionalidades relacionadas a:

ocultação de processos;
manipulação do Registro;
ocultação de módulos do kernel;
interação com callbacks do sistema;
proteção de objetos.

Entretanto, os pesquisadores observaram apenas três desses comandos sendo efetivamente utilizados pela amostra do CoolClient durante sua execução normal.

Portanto, não é correto afirmar que todas as 33 funcionalidades foram utilizadas na campanha investigada.

Quem foi afetado?

A Kaspersky informou ter identificado vítimas em:

Myanmar;
Mongólia;
Paquistão;
Rússia.

Entre as vítimas confirmadas estavam também entidades governamentais.

A pesquisa descreve o CoolClient como parte das operações de ciberespionagem do HoneyMyte/Mustang Panda, principalmente contra organizações localizadas na Ásia e na Rússia.

Indicadores de comprometimento

A Kaspersky disponibilizou indicadores técnicos relacionados à investigação.

Entre os hashes publicados estão:

msagent.sys

2d7c8780e97409770a9d4f31c66c9d63

9460E150E1981D5C165043520c5c12fe

libngs.dll

9717f005c5fb98e08d2ad983d88f94ee

F518D8E5FE70D9090F6280C68A95998F

Esses indicadores devem ser utilizados em conjunto com análise comportamental e telemetria do endpoint, e não como único critério para determinar comprometimento.

Como se proteger?

Empresas devem monitorar comportamentos relacionados à cadeia de ataque descrita pela Kaspersky.

Entre os pontos que merecem investigação estão:

criação inesperada de exclusões no Microsoft Defender;
aplicações legítimas carregando DLLs desconhecidas;
criação suspeita de serviços de driver;
instalação de drivers antigos ou incomuns;
criação de tarefas agendadas com privilégios SYSTEM;
alterações inesperadas em chaves de AutoRun;
processos realizando injeção em outros processos;
drivers estabelecendo hooks ou filtros no kernel.

Organizações também devem aplicar políticas que impeçam usuários e processos não autorizados de instalar drivers.

Análise Técnica CyberX

O maior avanço está na mudança de camada

O CoolClient já possuía recursos significativos de espionagem antes da introdução desse driver.

A mudança relevante é que determinadas funções de ocultação agora podem operar dentro do kernel do Windows.

Um malware executado apenas em modo usuário está sujeito a mecanismos de segurança e APIs controladas pelo próprio sistema operacional.

Quando um componente consegue entrar no kernel, ele pode tentar manipular a própria fonte dessas informações.

Isso altera significativamente a complexidade da detecção.

Um EDR pode enxergar apenas parte da realidade

Esse tipo de rootkit demonstra por que depender exclusivamente de informações disponibilizadas pelas APIs convencionais do sistema pode ser insuficiente em incidentes avançados.

Se o kernel estiver comprometido, um malware pode tentar modificar o que ferramentas em modo usuário conseguem visualizar.

Um processo pode existir, mas ser ocultado.

Uma chave de Registro pode existir, mas não aparecer normalmente.

Uma conexão pode estar ativa, mas determinadas informações podem ser filtradas.

Por isso, investigações envolvendo suspeita de rootkit precisam utilizar múltiplas fontes de telemetria.

Drivers assinados continuam sendo um problema importante

A presença de uma assinatura digital também merece atenção.

Uma assinatura válida ou historicamente válida não significa necessariamente que um arquivo seja seguro.

Certificados podem ser:

roubados;
comprometidos;
utilizados indevidamente;
associados a software posteriormente abusado.

No caso analisado, o certificado utilizado pelo driver era antigo, válido entre 2013 e 2014.

Empresas devem, portanto, avaliar não apenas se o driver está assinado, mas também:

quem o assinou;
quando;
se o certificado ainda é confiável;
reputação do arquivo;
comportamento do driver;
contexto da instalação.

Exclusões no Defender são um indicador valioso

Um ponto particularmente importante para SOCs é a criação de exclusões no Microsoft Defender.

O grupo utilizou exclusões para reduzir a inspeção sobre diretórios e executáveis envolvidos na cadeia de malware.

Alterações inesperadas em configurações de antivírus deveriam ser tratadas como eventos de segurança relevantes, principalmente quando realizadas por:

scripts;
ferramentas administrativas;
contas que normalmente não modificam a política;
processos desconhecidos.

O ataque mostra uma cadeia madura

A operação analisada não depende de uma única técnica.

Ela combina:

PlugX → alteração do Defender → DLL sideloading → descriptografia em memória → persistência → elevação de privilégios → injeção de processo → implantação de driver → rootkit → CoolClient/C2.

Isso mostra uma arquitetura de ataque projetada para manter acesso e reduzir a visibilidade da operação dentro do endpoint comprometido.

Recomendação

Ambientes corporativos devem aplicar controles específicos para instalação e carregamento de drivers, principalmente em estações administrativas e sistemas governamentais ou estratégicos.

A CyberX recomenda combinar:

EDR com visibilidade de kernel;
Windows Defender Application Control;
políticas de controle de drivers;
monitoramento de criação de serviços;
alertas sobre alterações de exclusões do Defender;
detecção de DLL sideloading;
análise de tarefas executadas como SYSTEM;
monitoramento de processos e conexões em diferentes camadas.

Também é importante manter mecanismos como Secure Boot, proteção contra drivers vulneráveis e políticas de integridade de código corretamente configurados.

Conclusão

A nova variante do CoolClient mostra que o grupo HoneyMyte/Mustang Panda continua evoluindo suas ferramentas de ciberespionagem.

A introdução de um driver em modo kernel permite que o malware vá além do simples roubo de informações e passe a manipular mecanismos internos do Windows para proteger e ocultar sua própria presença.

A utilização de um driver assinado também reforça um princípio importante para equipes de segurança:

um arquivo assinado digitalmente não deve ser considerado automaticamente confiável. Comportamento, origem e contexto continuam sendo fundamentais.

Para organizações de maior criticidade, especialmente aquelas expostas a operações de APT, o monitoramento de drivers e atividades em nível de kernel precisa fazer parte da estratégia de detecção.

Referências

Esta notícia foi elaborada a partir da reportagem publicada pelo The Hacker News em 14 de agosto de 2026 e validada com a análise técnica original publicada pela equipe GReAT da Kaspersky/Securelist na mesma data.

AVALIE ESTE CONTEÚDO

Esta análise foi útil?

Ainda não há avaliações.

Mustang Panda adiciona rootkit assinado ao backdoor CoolClient para aumentar furtividade no Windows