El grupo de amenazas conocido como Mustang Panda (también llamado HoneyMyte) ha sido detectado utilizando una versión sofisticada de su backdoor CoolClient, que ahora incorpora un rootkit en modo kernel de Windows. Este componente malicioso, que opera en el núcleo del sistema operativo para una máxima invisibilidad, permite a los atacantes ocultar procesos, archivos, objetos de registro e información de comando y control (C2), dificultando enormemente su detección. Las víctimas identificadas incluyen entidades gubernamentales en Myanmar, Mongolia, Pakistán y Rusia.
La metodología de ataque implica el despliegue de CoolClient como una puerta trasera secundaria, usualmente después de una infección inicial con el malware PlugX. El rootkit, un driver con firma digital (aunque con un certificado antiguo), se instala cuando el CoolClient obtiene privilegios elevados, como acceso total al Service Control Manager (SCM), un componente crítico de Windows. Una vez activo, este driver permite al CoolClient realizar acciones como el registro de pulsaciones de teclado (keylogging), el robo de contenido del portapapeles, la recolección de credenciales y la gestión de archivos, todo ello de forma encubierta.
Para mantener la persistencia y evadir la detección, los atacantes emplean técnicas avanzadas. Copian los componentes maliciosos a un directorio de instalación falso de Windows Defender, renombran un ejecutable legítimo para realizar un DLL sideloading (cargar una librería maliciosa a través de un programa legítimo), y establecen tareas programadas con privilegios de SYSTEM. El rootkit mejora el sigilo al reducir los derechos de acceso a procesos protegidos, ocultar entradas de la lista de procesos activos de Windows, denegar acceso a archivos y directorios controlados, y filtrar direcciones C2 de la información de red, haciendo que el malware sea casi indetectable por herramientas tradicionales.
Dado el alto nivel de sigilo de este rootkit, las acciones concretas para las empresas deben enfocarse en la prevención y detección avanzadas. Es crucial implementar soluciones de seguridad de endpoints (EDR/XDR) capaces de monitorear a nivel de kernel y detectar comportamientos anómalos, incluso aquellos que intentan evadir las herramientas de seguridad. Además, mantener todos los sistemas operativos y aplicaciones actualizados es fundamental para cerrar posibles brechas que puedan ser explotadas por el malware inicial como PlugX. Monitorear los indicadores de compromiso (IoCs) publicados, como los hashes de archivos, también es una medida preventiva.
Qué significa para tu empresa: Este ataque subraya la necesidad crítica de una protección de endpoints EDR/XDR robusta. La capacidad de un rootkit para operar a nivel de kernel y evadir las defensas tradicionales exige una visibilidad profunda y la habilidad de detectar amenazas por comportamiento, no solo por firmas. Contar con un Centro de Operaciones de Seguridad (SOC) con monitoreo 24/7 es igualmente vital para identificar y responder rápidamente a cualquier anomalía que pueda indicar la presencia de un ataque tan sigiloso, complementando la protección en los endpoints con una vigilancia constante y analítica de logs que permita correlacionar eventos y detectar los intentos más sutiles de intrusión y persistencia.
Fuente original: The Hacker News — ver artículo →