中国と関係の深いスパイ活動集団HoneyMyte(Mustang Pandaとしても追跡されている)は、バックドア「CoolClient」に署名済みのWindowsカーネルモード・ルートキットを追加し、マルウェアの痕跡とコマンド&コントロール(C2)インフラをセキュリティツールから隠蔽できるようにアップグレードしました。
Securityconsulting services
今回の動きは、同グループの侵害後の手口が大きく前進したことを示しています。多くのエンドポイント検査ツールが動作するユーザーモード層よりもさらに下層で、防御と回避を行うようになったのです。
これまでのバージョンでは、偵察、ファイル操作、キーロギング、クリップボード窃取、認証情報収集、プラグインベースの拡張フレームワークがサポートされていました。
2025年のアップデートでは、ブラウザを狙った認証情報窃取とHTTPトラフィックの傍受機能も追加されており、このマルウェアファミリーがすでに従来のリモートアクセス機能を超えて拡大しつつあったことがうかがえます。
新たに解析された亜種は、CoolClientが十分な権限を取得した後、msagent.sysという名前のカーネルドライバーをWindowsサービスとして展開します。
このドライバーは第2段階のコンポーネントであるloadcert.iniにLZMA圧縮形式で埋め込まれており、その後、このキャンペーンで使用される偽のWindows Defenderインストールパスに書き込まれます。
読み込まれると、ユーザーモードのインプラントは\\.\msagentを開き、IOCTLリクエストを使って自身を信頼済みとして登録し、設定済みのC2 IPv4アドレスを送信し、保護が必要なファイルやレジストリパスを特定します。
このアーキテクチャにより、バックドアはユーザーモードでの防御回避だけに頼るのではなく、ルートキットコンポーネントを直接制御できるようになります。
このドライバーはCoolClientをホストするプロセスを隠蔽・保護し、外部ツールによる検査や強制終了を阻止し、指定されたファイルシステムパスへのアクセスを拒否し、選択したレジストリキーや値を列挙結果から除外することができます。
ルートキットの設定はHKLM\SYSTEM\RNG以下に保存されており、隠しディレクトリ、隠しファイル、レジストリオブジェクト、無視対象のイメージ、保護対象プロセスの各リストが含まれています。
特に重要な機能の一つが、C2の可視性を隠蔽する能力です。このドライバーはWindowsのNsiproxyコンポーネントをフックし、ユーザーモードのアプリケーションに返されるネットワーク情報をフィルタリングします。
Kasperskyの研究者らによると、CoolClientは2022年に公に明らかにされて以来、アジアとロシア各地の組織を標的としたHoneyMyteの活動と関連付けられてきました。
CoolClientインプラントがIOCTL 0x2221E0を通じてC2のIPv4アドレスを提供すると、ルートキットは該当するネットワークレコードが検査ツールに返される前に削除します。
HoneyMyte、CoolClientをアップグレード
その結果、インシデント対応担当者は、実際には稼働している悪意のある通信と、影響を受けたWindowsネットワークインターフェースに依存するユーティリティが表示するテレメトリとの間に、食い違いが生じる可能性があります。
Service Control Managerへの十分なアクセス権があること、また360 Total Securityのソフトウェアプロセス(360sd.exe、zhudongfangyu.exe、360desktopservice64.exe)が一切実行されていないことが条件となります。
Securityconsulting services
ミャンマーの被害者に対して確認された攻撃チェーンは、まずPlugXから始まります。HoneyMyteはこれを足がかりとして利用した上でCoolClientを展開します。
偽装したC:\Program Files\Microsoft\Windows Defenderディレクトリを作成し、そのディレクトリと名前を変更したサイドローダーに対してMicrosoft Defenderの除外設定を追加したうえで、正規のSangfor実行ファイルをdefender.exeという名前に変更し、DLLサイドローディングに利用します。
この実行ファイルは悪意のあるlibngs.dllを読み込み、これがloadcert.iniを復号します。最終的なペイロードであるcert.iniは、C2通信とバックドア操作のためにsynchost.exeにインジェクトされます。
永続化の仕組みは何重にも重ねられています。CoolClientはgoopdateという名前のAutoRunエントリを作成し、media_updatenというサービスをインストールする場合もあり、確認された展開ではSYSTEM権限でのスケジュールタスク実行も利用しています。
第2段階のローダーは、PPIDスプーフィングと組み合わせたRPCベースの権限昇格手法を使うこともでき、これにより権限昇格したインスタンスが、元の悪意あるプロセスではなく信頼されたWindowsプロセスから発生したように見せかけられます。
msagent.sysドライバーは、「Nanjing Ranyi Technology Co., Ltd.」に発行された証明書でデジタル署名されていました。
この証明書の有効期間は2013年8月から2014年9月までで、研究者らは同じ証明書で署名されたより古い悪意のあるドライバーを発見していますが、それらのサンプルと今回のCoolClientの活動との直接的な関連性は確認されていません。
ドライバーに埋め込まれたPDBパスには「Nanjing Laboratory」への言及が含まれていますが、入手可能なOSINT情報では、これらの文字列を既知の開発者や組織に結び付けることはできませんでした。
防御側にとって重要な点は、通常のプロセス、ファイル、レジストリ、ネットワークの列挙だけに頼っていては、もはやCoolClientを検知できないということです。
Windows Defenderを偽装したパスから実行される不審なSangforバイナリ、libngs.dll、loadcert.ini、cert.ini、msagent.sys、media_updatenサービス、そしてHKLM\SYSTEM\RNG以下の不審なレジストリ内容を探すべきです。
アナリストは、単一のホストベースのネットワークビューを鵜呑みにするのではなく、ファイアウォール、プロキシ、EDRのカーネルテレメトリ、パケットキャプチャなど、独立したテレメトリソースを通じてネットワーク活動を検証する必要もあります。
[ライブウェビナー] ElasticとUnderDefenseが参加するこのウェビナーでは、小規模なセキュリティチームがAIの可視化とエージェント型対応を一つの運用モデルに統合する方法を学べます。 -> 今すぐ登録
Securityconsulting services
翻訳元: https://gbhackers.com/honeymyte-upgrades-coolclient/
