Исследователи Лаборатории Касперского сообщают об обновлении APT HoneyMyte своего бэкдора CoolClient, который получил руткит уровня ядра Windows. CoolClient - семейство бэкдоров, которое непосредственно связяно с APT-группой HoneyMyte (также известной как Mustang Panda). Они применялись в различных кампаниях группировки в целях кибершпионажа за организациями в России и странах Азии. Бэкдоры поддерживают широкий функционал, включая кейлоггинг, перехват данных из буфера обмена, извлечение учетных данных, управление файлами и сбор информации о системе. Кроме того, их функциональность может быть при необходимости дополнена плагинами. После первого публичного описания CoolClient исследователями Sophos в 2022 году и последующего анализа Trend Micro в 2023 году эти бэкдоры продолжали развиваться. В 2025 году в ЛК исследовали более новую разновидность CoolClient, в которой появились функции кражи данных из буфера обмена и перехвата HTTP-трафика с целью сбора учетных данных. Новое исследование, которое в ЛК проводили в конце 2025 года и в 2026 году, открыло еще один значительный этап эволюции вредоносного ПО. Новейший вариант CoolClient способен устанавливать подписанный драйвер режима ядра в качестве службы Windows и взаимодействовать с ним посредством IOCTL-запросов. Драйвер делает зловред еще менее заметным для обнаружения, скрывая процесс CoolClient, защищая связанные с ним файлы и записи реестра, а также препятствуя их анализу и изменению. Такой подход в целом сопоставим с новыми возможностями работы в режиме ядра, ранее замеченными в ToneShell. При этом драйвер CoolClient предоставляет специальные обработчики IOCTL, с помощью которых бэкдор пользовательского режима может взаимодействовать с ним напрямую. Задетектить обновленный вариант CoolClient и связанный с ним драйвер исследователям ЛК удалось в ходе анализа атак, затронувших ряд стран Азии. Последняя версия CoolClient продолжает атаковать организации, профиль которых соответствует ранее наблюдаемой активности HoneyMyte. В ходе расследований жертвы были обнаружены в Мьянме, Монголии, Пакистане и России, при этом есть подтвержденные случаи компрометации госорганизаций. В зафиксированных атаках CoolClient разворачивался как вторичный бэкдор после первоначального заражения PlugX. Таким образом, HoneyMyte, как и ранее, предпочитает использовать PlugX в качестве первичного импланта на этапе посткомпрометации, а затем устанавливать CoolClient. В отличие от более ранних версий CoolClient, которые функционировали преимущественно как бэкдоры пользовательского режима с поддержкой плагинов, новая версия разворачивает драйвер режима ядра и взаимодействует с ним, существенно расширяя свои возможности. С помощью этого драйвера CoolClient способен скрывать и защищать процессы, файлы и объекты реестра, а также фильтровать определенные сетевые данные, что значительно затрудняет обнаружение и анализ вредоносной активности. HoneyMyte уже внедрила функциональность режима ядра в ToneShell. Появление драйвера режима ядра в составе CoolClient позволяет предположить, что группа продолжает внедрять функциональность руткита в свои инструменты для повышения скрытности, обеспечения устойчивого закрепления и обхода средств защиты на стадии посткомпрометации. Подробный технический разбор и IOCs - в отчете.