Mustang Panda olarak bilinen tehdit aktörü, güncellenmiş CoolClient arka kapısına imzalı bir Windows çekirdek modu rootkiti ekledi. Bu, kötü amaçlı süreçleri, dosyaları, kayıt defteri nesnelerini ve komut ve kontrol (C2) ağı bilgilerini gizlemeye ve korumaya yardımcı olur.
Rus güvenlik şirketi Kaspersky, Myanmar, Moğolistan, Pakistan ve Rusya'da kurbanların tespit edildiğini ve CoolClient'in PlugX enfeksiyonundan sonra ikincil bir arka kapı olarak sürekli olarak dağıtıldığını belirtti.
Çekirdek bileşeni, CoolClient'in Hizmet Denetimi Yöneticisi'ne (SCM) ve SeTcbPrivilege ayrıcalığına tam erişimine sahip olduğunda dağıtılır. Bu koşullar karşılanmazsa, kötü amaçlı yazılım sürücü dağıtımını atlar ve son aşama implantına devam eder.
Kaspersky, ayrıca dosya karmaları, yolları ve C2 alanlarını tehlike işaretleri (IoC'ler) olarak yayınladı.
Kaspersky, "Analizimiz, araştırılmış kötü amaçlı yazılımın HoneyMyte tehdit grubuna bağlı yeni bir CoolClient varyantı olduğunu doğruladı. Genel yürütme akışı, daha önce belgelenen CoolClient varyantlarıyla tutarlı kalırken, bu örnek, kötü amaçlı yazılımın gizlilik yeteneklerini önemli ölçüde genişleten previously belgelenmemiş bir çekirdek modu sürücüsünü tanıtıyor" dedi.
CoolClient, anahtar günlüğü, panoya kopyalama, kimlik bilgilerini toplama, dosya yönetimi, sistem keşif ve eklentiler aracılığıyla teslim edilen ek işlevler de dahil olmak üzere bir dizi işlevi destekler.
PlugX, CoolClient Bileşenlerini Dağıtıyor
Myanmar'ı hedef alan bir kampanyada, Kaspersky, HoneyMyte'nin CoolClient'i dağıtmak için ilk post-compromise implant olarak PlugX'i kullandığını ve sahte bir Windows Defender kurulum dizini ve yeniden adlandırılmış bir yan yükleme yürütme dosyası için Microsoft Defender dışlamaları eklediğini söyledi.
