HoneyMyte arme CoolClient d’un rootkit noyau signé qui rend ses processus invisibles aux outils de sécurité

14 août 2026. Les chercheurs de Kaspersky publient une analyse d’une nouvelle variante du backdoor CoolClient. La nouveauté : un pilote noyau signé qui masque les processus, les fichiers, les clés de registre et les connexions réseau du malware. L’auteur : HoneyMyte, le groupe APT mieux connu sous le nom de Mustang Panda, déjà impliqué dans des intrusions ciblant des administrations en Asie.

Le mot qui compte ici n’est pas « backdoor » mais « rootkit noyau ». Un backdoor s’exécute et laisse des traces ; un rootkit noyau falsifie la réalité que voient les outils de sécurité. La machine compromise peut sembler parfaitement saine pendant que l’attaquant y travaille.

Un pilote signé, une invisibilité à quatre niveaux

Le composant clé est le pilote msagent.sys, chargé en mode noyau et signé numériquement. La signature est décisive : elle fait passer un pilote malveillant pour un composant légitime auprès des mécanismes de confiance de Windows et complique son blocage par liste noire.

Une fois chargé, le pilote masque quatre choses :

• Les processus : via des callbacks sur la création de processus et d’image, il retire les processus du malware des énumérations.
• Les fichiers : en s’enregistrant comme Minifilter sur le système de fichiers, il filtre les accès pour cacher ses artefacts sur disque.
• Les clés de registre : des callbacks de registre masquent les entrées de persistance.
• Le réseau : les connexions de commande et contrôle (C2) disparaissent des listes d’états réseau.

Le résultat est une compromission qui résiste aux outils fonctionnant au niveau utilisateur. Un EDR qui interroge l’API du système voit une machine propre, parce que le rootkit répond aux requêtes avant que le système d’exploitation ne le fasse — ou plutôt à sa place.

La chaîne d’infection, du DLL au pilote

Kaspersky détaille la chaîne complète. Le point d’entrée est libngs.dll, un premier étage qui dépose le fichier de configuration loadcert.ini. S’ensuit une injection de processus dans synchost.exe, un nom choisi pour se fondre dans le bruit légitime de Windows.

La persistance s’installe par AutoRun, puis le malware vérifie ses privilèges administrateur : s’ils manquent, il se relance en élévation avec un contournement d’UAC. Ce n’est qu’une fois administrateur qu’il installe son service et déploie le pilote noyau.

Cette progressivité est un enseignement en soi. Le rootkit n’est pas un simple fichier déposé : c’est l’aboutissement d’une chaîne qui monte progressivement en privilèges. Chaque étape — injection, persistance, élévation — est un point où une détection comportementale aurait pu couper la chaîne, avant que le noyau ne soit compromis.

Pourquoi un rootkit noyau signé change la donne

La différence entre un rootkit userland et un rootkit noyau est celle entre un intrus qui se cache derrière un rideau et un intrus qui débranche les caméras. Le premier peut être trouvé ; le second contrôle ce que vous êtes autorisé à voir.

La signature ajoute une couche de difficulté. Windows applique la signature des pilotes noyau ; un pilote signé traverse cette barrière et passe pour légitime. Reste la question de qui a signé — un certificat volé, une autorité compromise, ou un certificat légitimement obtenu par un intermédiaire. Kaspersky ne détaille pas l’origine du certificat, mais le fait qu’un groupe APT dispose d’un pilote signé est un signal : la barrière de signature n’est plus un mur, c’est une formalité.

Pour un RSSI, la conséquence est brutale : les indicateurs userland — listes de processus, hashes de fichiers, flux réseau — ne suffisent plus. Quand le rootkit est actif, tout ce que ces outils lisent est filtré.

Qui est visé, et par qui

HoneyMyte, alias Mustang Panda, est un groupe APT documenté de longue date, attribué à la Chine. Ses campagnes visent historiquement les administrations, la diplomatie et les télécommunications en Asie du Sud-Est, avec des incursions récentes plus larges.

Le passage d’un backdoor simple à un rootkit noyau est une escalade de moyens typique des groupes qui sentent la détection se resserrer. Quand les EDR deviennent la norme, l’attaquant descend d’un cran dans la pile : du processus au pilote. C’est exactement ce que montre cette variante de CoolClient.

Ce que ça change pour la détection

Face à un rootkit noyau, la règle est simple : la télémétrie doit venir du noyau lui-même, pas des API qu’il peut filtrer. Concrètement :

• Télémétrie noyau : privilégier les capteurs qui s’exécutent en mode noyau (ETW au niveau noyau, kernel callbacks), capables de voir ce que le rootkit tente de masquer.
• Blocage des pilotes : maintenir une liste de blocage de pilotes (WDAC, vulnerable driver blocklist) pour empêcher le chargement de pilotes non approuvés.
• Détection de comportement : surveiller la séquence d’installation — injection dans synchost.exe, élévation UAC, installation de service, chargement de pilote — plutôt que le seul fichier final.

Le piège serait de se fier au scan : un rootkit signé passe les scans, et le malware qu’il protège aussi. La détection doit porter sur le chemin d’infection, pas sur l’état final.

Le précédent Lazarus, et ce que ça dit de la tendance

Ce rootkit n’est pas un cas isolé. À quelques jours d’écart, Check Point Research révélait que le groupe Lazarus exploitait un zero-day du pilote afd.sys de Windows pour déposer une nouvelle version de son rootkit FudModule. Deux groupes APT distincts, deux rootkits noyau, dans la même quinzaine.

La coïncidence est un signal. Quand l’EDR se généralise, les attaquants étatiques n’abandonnent pas la partie — ils descendent en dessous de la couche que l’EDR surveille. Le mode noyau devient le terrain de jeu, et la signature de pilotes le ticket d’entrée. Pour les défenseurs, cela signifie que la visibilité noyau n’est plus un luxe : c’est le minimum pour voir ce que les groupes APT déploient aujourd’hui.

Le parallèle éclaire aussi la stratégie de HoneyMyte. Là où Lazarus brise un pilote légitime pour s’élever, HoneyMyte livre un pilote signé prêt à l’emploi. Deux chemins vers le même but — exécuter du code sous l’EDR — et deux rappels que la confiance dans les signatures et les listes d’exécution doit être revue de fond en comble.

Verdict

Si vous défendez des administrations ou des infrastructures critiques en Asie, considérez cette variante de CoolClient comme une menace de votre périmètre immédiat : Mustang Panda cible précisément ce profil, et le rootkit est conçu pour survivre aux EDR classiques.

Si vous gérez un parc Windows, durcissez le chargement des pilotes — WDAC et la vulnerable driver blocklist coûtent peu et coupent la voie la plus directe du rootkit. Ajoutez une télémétrie noyau à votre SOC : sans elle, une machine compromise par ce rootkit est indétectable par construction.

Le signal de fond : la course entre EDR et APT descend dans le noyau. Quand l’attaquant contrôle la couche qui filtre votre visibilité, la seule parade est de mesurer en dessous de lui — et de couper son chemin d’installation avant qu’il n’y parvienne.

Références

• Kaspersky Securelist — CoolClient backdoor goes deeper: HoneyMyte adds Windows kernel rootkit, août 2026
• The Hacker News — Mustang Panda Adds Signed Windows Rootkit to CoolClient Backdoor for Stealth, 14 août 2026
• SecurityAffairs — Mustang Panda Upgrades CoolClient With a Kernel Rootkit, 16 août 2026