Mustang Panda: CoolClient-Backdoor um Kernel-Rootkit erweitert
Veröffentlicht am: 14.08.2026 um 19:52 Uhr | Redaktion boerse-global.de
Die unter dem Namen Mustang Panda bekannte Bedrohungsgruppe, die in Fachkreisen auch als HoneyMyte geführt wird, hat ihr technologisches Arsenal im Bereich der Cyberspionage massiv ausgebaut. Aktuellen Berichten zufolge wurde die Backdoor CoolClient um ein signiertes Windows-Kernel-Rootkit mit der Bezeichnung „msagent.sys“ erweitert.
Diese Entwicklung unterstreicht die zunehmende Komplexität staatlich motivierter Angriffe, die gezielt tiefgreifende Systemebenen infilitrieren, um eine Entdeckung durch konventionelle Sicherheitslösungen zu verhindern.
Technologische Evolution der CoolClient-Varianten
Die neuesten Varianten der CoolClient-Malware, die den Zeiträumen 2025 und 2026 zugeordnet werden, weisen eine veränderte Architektur auf. Die Schadsoftware installiert den betreffenden Treiber als regulären Windows-Dienst. Die Kommunikation innerhalb des infizierten Systems wird dabei über IOCTL (Input/Output Control) realisiert.
Das primäre Ziel des integrierten Rootkits ist die umfassende Verschleierung der bösartigen Aktivitäten auf dem Zielsystem. Zu den Kernfunktionen gehört das Verstecken von spezifischen Prozessen, Dateien und Registry-Einträgen.
Darüber hinaus ist das Rootkit in der Lage, die IP-Adressen der Command-and-Control-Server (C2) zu maskieren. Durch diese Agitation auf Kernel-Ebene wird die Sichtbarkeit der Infiltration für Administratoren und automatisierte Monitoring-Tools drastisch reduziert.
Zielgruppen und operative Vorgehensweise
Sicherheitsanalysten von Kaspersky haben bereits zahlreiche Opfer dieser modernisierten Kampagnen identifiziert. Die Angriffe konzentrieren sich geografisch schwerpunktmäßig auf Myanmar, die Mongolei, Pakistan sowie Russland. Besonders kritisch wird bewertet, dass unter den betroffenen Institutionen explizit Regierungsstellen identifiziert wurden.
Angesichts immer komplexerer Bedrohungslagen müssen Unternehmen ihre Sicherheitsstrategien proaktiv anpassen. In diesem kostenlosen E-Book erfahren Sie, wie Sie aktuelle Cyberrisiken frühzeitig erkennen und Ihre IT-Infrastruktur nachhaltig absichern. Experten-Report zu Cyber Security Awareness jetzt kostenlos herunterladen
In der operativen Durchführung agiert CoolClient in der Regel als sekundäre Backdoor. Insbesondere in Kampagnen, die in Myanmar beobachtet wurden, dient die bekannte Schadsoftware PlugX als Werkzeug für den Erstzugang. Nach der erfolgreichen Erstinfektion wird CoolClient nachgeladen, um eine dauerhafte Persistenz zu gewährleisten und tiefergehende Spionageoperationen zu ermöglichen.
Missbrauch digitaler Signaturen
Ein bemerkenswerter Aspekt der Untersuchung betrifft die digitale Signatur des Rootkits. Der Treiber „msagent.sys“ ist mit einem digitalen Zertifikat des Unternehmens Nanjing Ranyi Technology versehen. Interessant ist hierbei die zeitliche Einordnung: Das Zertifikat war ursprünglich für den Zeitraum von August 2013 bis September 2014 gültig.
Trotz des langjährigen Ablaufs der Gültigkeit nutzen Angreifer solche Signaturen aus, um die Integritätsprüfungen von Betriebssystemen zu täuschen, die bei der Installation von Treibern auf digitale Nachweise angewiesen sind.
Die ständige Weiterentwicklung von Schadsoftware erfordert ein tiefes Verständnis für die Methoden der Angreifer. Dieser kostenlose Ratgeber bietet fundierte Informationen zu modernen Cyberbedrohungen und zeigt praxisnahe Schutzmaßnahmen für IT-Verantwortliche auf. Gratis E-Book: Strategien gegen Cyberangriffe sichern
Die Integration eines Rootkits in eine bereits etablierte Spionage-Infrastruktur verdeutlicht die kontinuierliche Weiterentwicklung der Taktiken von Mustang Panda.
Die Fähigkeit, kritische Systemkomponenten zu manipulieren und sich vor Sicherheitsmechanismen zu verbergen, stellt hohe Anforderungen an die Verteidigungsstrategien staatlicher und privater Organisationen. Sicherheitsexperten betonen in diesem Zusammenhang die Notwendigkeit, Anomalien auf Kernel-Ebene verstärkt in die Überwachungsprozesse einzubeziehen.
