Was ist passiert?
Die Bedrohungsgruppe Mustang Panda (auch als HoneyMyte bekannt) setzt eine aktualisierte Version des CoolClient-Backdoors ein, die nun mit einem signierten Windows-Kernel-Mode-Rootkit ausgestattet ist. Dieses Rootkit ermöglicht es den Angreifern, bösartige Prozesse, Dateien, Registry-Objekte und Command-and-Control-Verbindungen vor Sicherheitstools zu verstecken. Kaspersky identifizierte Opfer in Myanmar, der Mongolei und Pakistan.
Hintergrund & Bedeutung
Mustang Panda ist eine chinesische APT-Gruppe, die sich auf gezielte Angriffe gegen Regierungen und Organisationen in der APAC-Region konzentriert. Die Verwendung von signierten Rootkits stellt eine erhebliche Eskalation dar, da legitime digitale Signaturen die Erkennung durch Sicherheitslösungen erheblich erschweren. Der CoolClient-Backdoor bietet umfassende Fernzugriffsfunktionen und wird typischerweise nach einer initialen Kompromittierung eingesetzt. Die Kombination mit Rootkit-Funktionalität macht eine Detektion und Entfernung deutlich schwieriger.
Empfehlungen für IT-Teams
Sofortmaßnahmen: Überprüfen Sie Systeme auf verdächtige Kernel-Mode-Treiber und nicht autorisierte Systemtreiber. Implementieren Sie Kernel Patch Guard (KPG) und Secure Boot, um unbefugte Kernel-Modifikationen zu verhindern. Erhöhen Sie die Überwachung von Prozessverhalten und Registry-Aktivitäten, besonders bei verdächtigen Netzwerkverbindungen. Sperren Sie Hashes und Zertifikate bekannter CoolClient-Varianten. Führen Sie Schulungen durch, um Phishing-Angriffe (typischer Infektionsvektor) zu erkennen.
Fazit
Die Integration von signierten Rootkits in etablierte Backdoor-Tools zeigt die fortgeschrittenen Fähigkeiten von Mustang Panda. Organisations sollten ihre Endpoint-Detection-and-Response-Systeme sowie Kernel-Level-Schutzmaßnahmen verstärken.
Quelle: Original Artikel