CoolClient si nasconde sotto gli strumenti endpoint
La novità non è un backdoor più discreto, ma un salto sotto il livello a cui lavorano molti controlli endpoint. La nuova variante di CoolClient di HoneyMyte carica un signed Windows kernel-mode rootkit driver e gli parla con richieste IOCTL, così da far sparire processi, file, chiavi di registry e attività di rete dalle viste che di norma confermano la compromissione.
Kaspersky dice di averlo visto in intrusioni in più paesi asiatici, tra cui Pakistan, Mongolia e Myanmar. Il driver protegge gli artefatti del malware e impedisce che vengano ispezionati o modificati, quindi una host triage standard può trovare un endpoint apparentemente quieto mentre il backdoor resta attivo.
Per chi si affida a visibilità user-mode su processi, file, registry e socket, il punto è questo: un driver kernel firmato può togliere dal campo visivo proprio ciò che gli analisti usano per accorgersi dell’infezione.