(in)sicurezza digitale

2026-08-15 13:02:34

HoneyMyte aggiorna CoolClient: la backdoor di Mustang Panda ora si nasconde con un rootkit kernel

Un driver kernel firmato, tre stadi di caricamento cifrati e un binario legittimo Sangfor usato come cavallo di Troia: è la nuova versione di CoolClient, la backdoor con cui il gruppo di cyberspionaggio cinese HoneyMyte (alias Mustang Panda) sta colpendo enti governativi in Myanmar, Mongolia, Pakistan e Russia. La novità che fa scattare l’allarme tra i ricercatori non è la campagna in sé — HoneyMyte è attivo da oltre un decennio — ma l’aggiunta di un rootkit a livello kernel che rende l’impianto praticamente invisibile agli strumenti di sicurezza tradizionali.

Chi è HoneyMyte e perché la sua evoluzione conta

HoneyMyte, meglio noto nella letteratura di settore come Mustang Panda (o anche Bronze President, Red Delta, Stately Taurus a seconda del vendor), è uno dei gruppi APT cinesi più prolifici degli ultimi anni. Il suo modus operandi classico prevede campagne di spear-phishing e compromissioni mirate contro ministeri, agenzie governative e ONG in Asia, con incursioni sempre più frequenti anche verso l’Europa dell’Est e la Russia — un dettaglio che conferma come la geografia dello spionaggio cinese non si limiti più al solo vicinato asiatico.

Il gruppo è storicamente associato a PlugX, uno dei RAT più longevi e riutilizzati nell’ecosistema APT cinese, spesso impiegato come primo impianto post-compromissione prima del rilascio di payload più specializzati. Secondo l’analisi tecnica pubblicata da Kaspersky Securelist, è esattamente questo lo schema osservato nella campagna più recente: PlugX apre la porta, CoolClient la blinda dall’interno.

La catena di infezione: da un binario Sangfor al rootkit kernel

La sofisticazione della catena di compromissione è il vero elemento di interesse tecnico. Dopo l’accesso iniziale tramite PlugX, gli operatori HoneyMyte rilasciano un eseguibile legittimo del vendor di sicurezza Sangfor (rinominato defender.exe), sfruttato come DLL sideloader per caricare libngs.dll, il primo stadio offuscato con XOR a 32 byte. Questo a sua volta decifra e carica loadcert.ini, un secondo stadio che gestisce i comandi e orchestra l’installazione del driver.

Il payload viene quindi iniettato nel processo synchost.exe, mentre il componente più critico dell’intera catena — il driver kernel msagent.sys — viene installato come servizio Windows (media_updaten) con persistenza garantita anche tramite chiave di registro AutoRun. Il driver risulta firmato con un certificato digitale intestato a Nanjing Ranyi Technology Co., Ltd., valido nel biennio 2013-2014: una firma probabilmente rubata o riutilizzata, prassi comune tra gli attori APT cinesi per garantire ai propri driver il caricamento senza generare allarmi da parte di Driver Signature Enforcement.

Cosa fa davvero il rootkit

Una volta caricato, msagent.sys mette a disposizione dell’impianto un set di 33 handler IOCTL, di cui solo 3 effettivamente utilizzati dalla versione corrente di CoolClient — segno che il driver è pensato come piattaforma riutilizzabile per operazioni future, non come strumento usa e getta. Le capacità osservate includono:

• Occultamento del processo CoolClient tramite scollegamento dalla PsLoadedModuleList
• Protezione di file e directory attraverso un minifilter con altitudine assegnata dinamicamente per evitare conflitti con altri driver installati
• Protezione delle chiavi di registro associate all’impianto (es. Wid_H1deF5Dirs)
• Filtraggio del traffico di rete via Nsiproxy per nascondere le connessioni verso l’infrastruttura C2
• Hook sugli oggetti processo e thread tramite ObRegisterCallbacks, per bloccare l’accesso di EDR e antivirus al processo protetto

Il payload finale, cert.ini, gestisce le comunicazioni verso un’infrastruttura C2 piuttosto ampia e diversificata, che mescola domini dynamic DNS, servizi di hosting gratuito e domini camuffati da marchi legittimi come Lenovo — una tecnica di mimetizzazione tipica per superare i controlli basati su reputazione.

Perché conta per i difensori

L’uso di un rootkit kernel-mode alza sensibilmente l’asticella per il rilevamento: molti EDR faticano a ispezionare in profondità il comportamento dei driver firmati, specialmente quando l’altitudine del minifilter viene assegnata dinamicamente proprio per evitare collisioni rilevabili. Per i team di detection engineering, la superficie di hunting più promettente resta quella comportamentale: caricamento anomalo di driver con certificati datati o revocati, servizi Windows con nomi generici tipo “media_updaten”, processi synchost.exe con parent process inatteso, e DLL sideloading su binari di sicurezza legittimi come quelli Sangfor — tecnica, quest’ultima, sempre più gettonata proprio perché i prodotti di sicurezza godono di whitelist implicite.

La geografia delle vittime — Myanmar, Mongolia, Pakistan e Russia — conferma inoltre come HoneyMyte mantenga un interesse costante verso i vicini asiatici della Cina e, sempre più spesso, verso obiettivi russi: un segnale che nemmeno le relazioni diplomatiche tra Pechino e Mosca mettono al riparo Mosca dall’intelligence gathering cinese.

Indicatori di compromissione

# Hash
msagent.sys (driver kernel): 2d7c8780e97409770a9d4f31c66c9d63 / 9460E150E1981D5C165043520C5C12FE
libngs.dll (loader stage 1): 9717F005C5FB98E08D2AD983D88F94EE / F518D8E5FE70D9090F6280C68A95998F
ctxmui.dll: EB79558B037669792652A816E2C669DE

# Domini C2
cloudtroe.giize[.]com
employers.theworkpc[.]com
freeread.casacam[.]net
us.lenovoappstore[.]com
sundanish.freeddns[.]org
torinarlabs.webredirect[.]org
news.dursamjbataar[.]org
video.dursamjbataar[.]org
black-popular[.]com
whatismybestthing[.]com

# Percorsi di installazione
C:\Program Files\Microsoft\Windows Defender\
C:\Program Files\Windows Media Player\mediares\
C:\ProgramData\symantecdir\

# TTP MITRE ATT&CK
T1574.002 - DLL Side-Loading (binario Sangfor)
T1547.001 - Persistenza via registro AutoRun
T1134.003 - Process injection (synchost.exe)
T1548.004 - UAC bypass (RPC + PPID spoofing)
T1547.011 - Servizio Windows dannoso (media_updaten)
T1112 - Manipolazione chiavi di registro
T1562.008 - Disabilitazione esclusioni Windows Defender via WMIC
T1014 - Rootkit kernel-mode
T1047 - Windows Management Instrumentation

Fonte tecnica principale: Kaspersky Securelist.