Il gruppo HoneyMyte, tracciato anche come Mustang Panda, è stato osservato mentre impiega una variante aggiornata della backdoor CoolClient con un componente rootkit in modalità kernel. L’informazione è supportata da analisi tecniche di Kaspersky e da ulteriori riprese da testate di settore.

Che cosa cambia in CoolClient

La presenza di un driver kernel-mode firmato consente al malware di operare a un livello più profondo del sistema operativo. In termini pratici, questo può aiutare gli attaccanti a nascondere processi, file, chiavi di registro e informazioni di comando e controllo agli strumenti di sicurezza e agli analisti.

La combinazione tra backdoor e rootkit non è nuova nel panorama APT, ma resta significativa perché aumenta la difficoltà di rilevamento e rimozione. La firma del driver, inoltre, può ridurre l’attrito iniziale con alcuni controlli di integrità se non accompagnata da adeguate policy di blocco.

Priorità per i difensori

Le organizzazioni esposte ad attività di spionaggio dovrebbero rafforzare il controllo sui driver caricati, applicare allowlist rigorose e correlare eventi kernel con telemetria EDR, log di rete e indicatori di persistenza. Nei casi sospetti, l’analisi offline e il confronto con baseline affidabili diventano particolarmente importanti.

Il caso conferma una tendenza già osservata nelle campagne avanzate: gli attori più strutturati investono in componenti a basso livello per proteggere l’accesso iniziale e prolungare la permanenza negli ambienti compromessi.