تیم تحقیقاتی GReAT کسپرسکی نسخه جدیدی از بکدر CoolClient را شناسایی کرده که توسط گروه جاسوسی HoneyMyte (شناخته‌شده با نام Mustang Panda) توسعه یافته است. جدیدترین نسخه این بدافزار اکنون مجهز به یک روت‌کیت سطح هسته (Kernel-level) امضاشده که پنهان‌کردن حضور مهاجمان را بسیار مؤثرتر از قبل می‌کند.
زنجیره اجرای چند‌مرحله‌ای حمله
مهاجمان از یک فایل اجرایی قانونی محصول Sangfor (به نام defender.exe) برای بارگذاری کتابخانه مخرب libngs.dll استفاده می‌کنند (DLL Sideloading). لودر مرحله اول، فایل loadcert.ini را رمزگشایی کرده و درون فرآیند synchost.exe تزریق می‌کند. مرحله دوم پایداری را ایجاد و درایور کرنل را مستقر می‌کند، و نهایتاً ایمپلنت نهایی (cert.ini) ارتباطات C2 را مدیریت می‌کند.
قابلیت جدید: روت‌کیت امضاشده مجوز (msagent.sys)
مهم‌ترین تغییر در نسخه جدید، افزودن یک درایور مجوز سطح هسته به نام msagent.sys است که قابلیت‌های زیر را دارد:
- پنهان‌کردن فرآیندها، فایل‌ها و کلیدهای رجیستری مخرب
- فیلتر کردن داده‌های شبکه برای پنهان کردن ارتباطات C2
- جلوگیری از بررسی اشیاء محافظت‌شده توسط ابزارهای امنیتی
این سطح از دسترسی، تشخیص بدافزار را برای ابزارهای امنیتی معمولی بسیار دشوارتر می‌کند.
نشانه‌های هشدار و IOCها
- اجرای فایل مشکوک توسط برنامه قانونی: اجرای defender.exe توسط Sangfor که دی ال ال مخرب را بارگذاری می‌کند.
- نصب درایور سطح هسته: ثبت msagent.sys در سیستم.
- ارتباط با دامنه‌های مشکوک: cloudtroe.giize.com، freeread.casacam.net.
چرا این تهدید برای سازمان‌های ایرانی مهم است؟
اگرچه این کمپین فعلاً نهادهای دولتی در آسیا و روسیه را هدف قرار داده، تکنیک‌های به‌کار‌رفته — از جمله سوءاستفاده از نرم‌افزارهای امنیتی قانونی برای DLL Sideloading و استقرار روت‌کیت سطح هسته — می‌تواند علیه هر سازمانی با زیرساخت مشابه به‌کار گرفته شود. روت‌کیت‌های سطح هسته به دلیل دسترسی عمیق به کرنل ویندوز، از دید اکثر آنتی‌ویروس‌های سنتی پنهان می‌مانند.
توصیه‌های عملی برای سازمان‌ها
- نظارت بر نرم‌افزارهای VPN/امنیتی شخص ثالث: بررسی فایل‌های اجرایی مرتبط برای سوءاستفاده احتمالی DLL Sideloading.
- راهکار تشخیص روت‌کیت سطح هسته: استفاده از راهکارهای امنیتی قادر به تشخیص در سطح کرنل.
- مسدودسازی دامنه‌های مشکوک: بلاک کردن دامنه‌های C2 شناسایی‌شده.
- استفاده از XDR: راهکارهای XDR با دید یکپارچه می‌توانند رفتار غیرعادی حتی با وجود روت‌کیت سطح هسته را شناسایی کنند.
جمع‌بندی
CoolClient نمونه‌ای از تکامل پیوسته جاسوسی سایبری است که با افزودن قابلیت روت‌کیت سطح هسته، تشخیص را بسیار سخت‌تر کرده است. دفاع مؤثر نیازمند لایه‌های امنیتی عمیق‌تری از سطح کاربرد است — از جمله راهکارهای XDR قادر به تشخیص در سطح کرنل. جزئیات کامل فنی این گزارش در مقاله اصلی کسپرسکی روی Securelist در دسترس است.
مشاوره امنیتی رایگان با کارشناسان فدک رایان
اگر سازمان شما هم نگران تهدیدات پیشرفته‌ای مانند روت‌کیت‌های سطح هسته است، کارشناسان فدک رایان با راهکارهای EDR و XDR کسپرسکی آماده پاسخگویی به سؤالات شما هستند. برای دریافت مشاوره تخصصی یا بررسی وضعیت امنیتی سازمان، همین امروز از طریق صفحه تماس با ما با ما در ارتباط باشید؛ کارشناسان ما در اسرع وقت پاسخگوی سؤالات شما خواهند بود.