Эксперты «Лаборатории Касперского» зафиксировали новую версию бэкдора CoolClient, используемого APT-группировкой HoneyMyte в шпионских операциях. Главное изменение — малварь теперь применяет подписанный драйвер режима ядра Windows, что существенно расширяет её возможности по скрытию следов.

Этот руткит уровня ядра позволяет злоумышленникам прятать процессы, файлы и ключи реестра от системных средств мониторинга. Кроме того, драйвер фильтрует сетевой трафик, что затрудняет обнаружение каналов управления и утечки данных.

Обновлённый CoolClient — это уже не просто бэкдор, а полноценный инструмент для глубокого сокрытия активности. Подписанный драйвер даёт дополнительное преимущество: он может быть загружен без подозрений со стороны защитного ПО, которое доверяет валидным сертификатам.

HoneyMyte известна целевыми атаками на организации в Азии и на Ближнем Востоке, часто в связке с другими инструментами. Использование руткита ядра указывает на то, что группировка повышает уровень технической сложности своих операций.

Вероятно, другие APT-группы возьмут этот подход на вооружение, так как драйверы ядра открывают новые векторы для обхода EDR. «Лаборатория Касперского» уже добавила детекты для этой версии, но обновление сигнатур — лишь временная мера.