LONDON (IT BOLTWISE) – Ein mit CoolClient verknüpfter Bedrohungsakteur nutzt nun einen signierten Windows-Kernel-Mode-Rootkit-Treiber, um Prozesse, Dateien, Registry-Objekte und C2-Informationen besonders schwer sichtbar zu machen. Die Kernel-Komponente wird nur gestartet, wenn CoolClient volle Kontrolle über den Service Control Manager und ein spezielles Privileg besitzt. Laut einer neuen Analyse lassen sich über IOCTL-Anfragen Schutz- und Versteckregeln bis ins Dateisystem und in Registry-Aufzählungen durchsetzen. Damit verändert sich die erwartbare Detektionsstrategie: Statt nur den User-Mode-Backdoor-Workflow zu beobachten, rückt die Treiber-Interaktion in den Fokus.
🧠 KI & Robotik auf Google News abonnierenBeim Erweitern von CoolClient geht es HoneyMyte offenbar nicht nur um zusätzliche Funktionen, sondern vor allem um Ausweichmechanismen auf Betriebssystemebene. Im Mittelpunkt steht ein aktualisierter CoolClient-Stand, der eine signierte Kernel-Komponente nachlädt. Diese Komponente kann nach der Analyse so in das Windows-System eingreifen, dass geschützte Prozesse nicht ohne Weiteres terminiert oder umgangen werden, Dateien und Verzeichnisse gezielt blockiert werden und Registry-Einträge aus Auflistungen verschwinden. Für Security-Teams ist das eine relevante Verschiebung: Wer bislang primär User-Mode-Verhalten wie Keylogging, Clipboard-Theft oder Credential Harvesting verfolgt, übersieht damit zwangsläufig einen Teil der „Stealth“-Kette, die in den Kernel verlagert wird.
Technisch wird der Rootkit-Treiber nicht blind in jedem Fall installiert. Die Kernel-Komponente wird erst dann ausgeliefert, wenn CoolClient vollständigen Zugriff auf den Service Control Manager (SCM) hat und zusätzlich das Privileg SeTcbPrivilege verfügbar ist. Fehlen diese Bedingungen, läuft der Ablauf ohne Treiberdeployment weiter und springt direkt zum finalen Implant. Aus Sicht der Angriffslogik ist das ein typisches Pattern zur Reduktion von Fehlern und Spuren: Das Schadprogramm vermeidet Operationen, die in restriktiven Umgebungen scheitern würden, und behält trotzdem den restlichen Backdoor-Workflow bei. Nachdem die Voraussetzungen vorliegen, installiert der Angreifer den Treiber als Windows-Service und steuert ihn aus dem User-Mode-Anteil über Input/Output Control (IOCTL)-Requests.
Bevor die Kernel-Komponente überhaupt greift, nutzt die Kampagne eine mehrstufige Verkettung. Als Initialzugang im beobachteten Szenario dient PlugX, das anschließend CoolClient nachlädt und dabei auch Defender-Verhalten gezielt aushebelt, indem es Defender-bezogene Exklusionen für einen manipulierten Installationspfad setzt. Außerdem setzt die beobachtete Ausführung auf einen DLL-Sideloading-Ansatz: Ein legitimer Executable wird dabei in „defender.exe“ umbenannt, und ein dazugehöriges bösartiges DLL (libngs.dll) wird eingebunden. Diese zweite Stufe kümmert sich dann um Persistenz über geplante Tasks mit SYSTEM-Rechten, um Registry-Änderungen inklusive UAC-Bypass und um Techniken wie Process Injection sowie das vorbereitende Deployment der Driver-Komponente. Für die spätere Eskalation in einen privilegierten Kontext wird zudem ein RPC-basiertes Process-Creation-Verfahren kombiniert mit PPID-Spoofing genutzt, damit das Neuladen und Injizieren schwerer zu einem einzelnen Auslöser zurückverfolgt werden kann.
Der eigentliche Stealth-Mehrwert entsteht, wenn der Treiber aus einer eingebetteten, LZMA-komprimierten Ressource extrahiert, auf die Platte geschrieben und als msagent.sys bereitgestellt wird. Anschließend legt CoolClient einen Service an (msagent) und startet ihn, wobei der Treiber digital signiert ist. Laut der Analyse stammt das Zertifikat, mit dem die Signatur erstellt wurde, ausgestellt von einer Einheit mit Sitz in Nanjing; die Gültigkeit wird für den Zeitraum August 2013 bis September 2014 angegeben. Zudem wurden mehrere ältere bösartige Treiber identifiziert, die mit demselben Zertifikat signiert waren und um 2013 herum kompiliert wurden, jedoch ohne direkten Nachweis, dass diese Samples tatsächlich mit CoolClient-Aktivitäten gekoppelt waren. Diese Details sind für die Verteidigung wichtig, weil „signiert“ in der Praxis oft als geringeres Risiko fehlinterpretiert wird; hier zeigt sich jedoch, dass Signaturen nicht automatisch Misuse verhindern.
Nach dem Laden übernimmt der Treiber die Kommunikation über genau definierte IOCTL-Pfade und nutzt gleichzeitig Konfigurationsdaten aus dem Registry-Bereich. CoolClient registriert sich dabei als „trusted process“, übergibt eine konfigurierte C2-IPv4-Adresse an den Treiber und übermittelt Pfade von Dateisystem- und Registryobjekten, die geschützt werden sollen. Der erste IOCTL ermöglicht Zugriff auf geschützte Ressourcen, während der dritte Einträge im Installations- und Service-Registry-Kontext so „verankert“, dass sie schwerer manipuliert oder gelöscht werden können. Auf Treiberebene wird anschließend Stealth über mehrere Eingriffspunkte umgesetzt: Prozess-Schutz wird über eine Reduktion von Zugriffrechten für andere Prozesse erreicht, Prozessverstecken erfolgt durch Entfernen von Einträgen aus der Windows Active Process List. Für Dateien greift eine Filesystem-minifilter-Logik, die Zugriffe auf definierte Ziele unterbinden soll. In der Registry sorgt ein Registry-Callback dafür, dass geschützte Keys und Values aus Enumerationsergebnissen herausgefiltert werden und Änderungen oder Löschversuche blockiert werden.
Daneben implementiert der Treiber einen zusätzlichen Mechanismus für den Netzwerkpfad: Über einen Hook im Windows Nsiproxy-Kontext werden konfigurierte C2-IPv4-Adressen aus den Netzwerkinformationen entfernt, die später an den User-Mode-Anteil zurückgereicht werden. In der untersuchten Ausprägung nennt die Analyse zudem mehrere dutzend IOCTL-Handler für verschiedene Fähigkeiten, darunter das Verstecken von Prozessen und Kernel-Modulen sowie Manipulation von Registry-Werten. Entscheidend ist aber, was tatsächlich während normaler Ausführung beobachtet wurde: Für den untersuchten CoolClient-Run wurden nur drei konkrete IOCTLs aufgerufen, die genau den oben beschriebenen Schutz- und Konfigurationsauftrag erfüllen. Für Incident Response und Threat Hunting bedeutet das: Nicht jeder Handler ist „aktiv“ sichtbar, doch die drei aktiven Schnittstellen bilden einen engen, testbaren Angriffspunkt. Als konkrete Indikatoren nennt die Analyse unter anderem Hashwerte für msagent.sys und libngs.dll sowie die C2-Domains, die als IoCs zur Identifikation herangezogen werden können.
Einordnung über den Einzelfall hinaus: Solche Kernel-Erweiterungen zeigen, wie schnell sich Backdoor-Architekturen vom reinen User-Mode wegbewegen. Der berichtete Entwicklungszeitpunkt liegt dabei zeitlich in einer Phase, in der bereits andere CoolClient-Varianten mit zuvor neuen Rootkit-Elementen auffielen, und auch andere HoneyMyte-Kernelmode-Rootkits als Loader für verschiedene Backdoors dokumentiert wurden. Der Kerntrend bleibt gleich: Entwickler erhöhen die Angriffsresilienz durch Kontrolle über Windows-Interna, statt ausschließlich auf klassische Lebenszyklen (Dateiablage, Persistenz, C2-Aufbau) zu setzen. Für Unternehmen heißt das, Treiber- und IOCTL-bezogene Telemetrie stärker zu priorisieren, etwa durch das Überwachen von Service-Creation, dem Start neuer Kernel-Services sowie durch die Korrelation zwischen User-Mode-Backdoor-Kommandos und den erwartbaren Registry-/Filesystem-Effekten. Ein zusätzlicher praktischer Punkt: Wenn ein kompromittierter Host bereits PlugX-artige Erstinfektionen gesehen hat, sollte CoolClient nicht nur als „zweite Backdoor“ eingeordnet werden, sondern als potenziell treiberfähiges System, dessen Stealth erst im Kernel sichtbar wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "HoneyMyte erweitert CoolClient um signierten Windows Rootkit-Treiber" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "HoneyMyte erweitert CoolClient um signierten Windows Rootkit-Treiber" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »HoneyMyte erweitert CoolClient um signierten Windows Rootkit-Treiber« bei Google Deutschland suchen, bei Bing oder Google News!