APT-группа HoneyMyte добавила руткит уровня ядра в бэкдор CoolClient

APT-группа HoneyMyte обновила бэкдор CoolClient, добавив в него руткит уровня ядра Windows. Новая версия способна устанавливать подписанный драйвер режима ядра как службу Windows, что делает зловред менее заметным для обнаружения. Драйвер скрывает процесс CoolClient, защищает связанные с ним файлы и записи реестра, а также препятствует их анализу и изменению.

Обновленный CoolClient был обнаружен в ходе атак на страны Азии, включая Пакистан, Монголию и Мьянму. В ходе атак на Мьянму группа HoneyMyte использовала PlugX для развертывания компонентов CoolClient. Злоумышленники добавляли исключения в Защитник Windows и использовали поддельный исполняемый файл для техники DLL sideloading.

ⓘ Что такое CoolClient
CoolClient — семейство бэкдоров, связываемое с APT-группой HoneyMyte. Эти бэкдоры применялись в кампаниях кибершпионажа за организациями в России и странах Азии. Они поддерживают функции кейлоггинга, перехвата данных из буфера обмена, извлечения учетных данных, управления файлами и сбора информации о системе.

Источники: Securelist · SecPost
@cbunit