Kaspersky hat am 14. August 2026 eine neue CoolClient-Variante der APT-Gruppe HoneyMyte beschrieben, die erstmals einen signierten Kernel-Mode-Treiber lädt, um Prozesse, Dateien und Registry-Einträge vor Sicherheitstools zu verbergen. Die Angriffe trafen laut Kaspersky Ziele in Pakistan, der Mongolei und Myanmar, wobei HoneyMyte zunächst PlugX als Erstzugriff nutzte, bevor CoolClient nachgeladen wurde.
- Kaspersky beschreibt am 14. August 2026 eine CoolClient-Variante von HoneyMyte, die erstmals einen signierten Kernel-Mode-Treiber als Windows-Dienst lädt.
- Der Treiber kommuniziert über IOCTL-Anfragen mit der Backdoor und verbirgt Prozesse, Dateien und Registry-Einträge vor Sicherheitswerkzeugen.
- Kaspersky beobachtete die Angriffe in Pakistan, der Mongolei und Myanmar, wo HoneyMyte zunächst PlugX als Erstzugriffs-Implantat einsetzte.
- Das Treiberzertifikat wurde ursprünglich für ‚Nanjing Ranyi Technology Co., Ltd.‘ ausgestellt und war bereits 2013/2014 gültig, lange vor dem aktuellen Einsatz.
- Von 33 implementierten IOCTL-Handlern nutzt die analysierte Probe im Regelbetrieb nur drei, was auf ein modular erweiterbares Rootkit hindeutet.
HoneyMyte schmuggelt einen signierten Treiber in den Kernel
Kaspersky hat am 14. August 2026 in einer technischen Analyse auf Securelist eine neue CoolClient-Variante beschrieben, die zum ersten Mal einen digital signierten Kernel-Mode-Treiber lädt. Der Treiber läuft als regulärer Windows-Dienst und kommuniziert mit der Backdoor über sogenannte IOCTL-Anfragen – ein Mechanismus, den sonst legitime Gerätetreiber nutzen, um Befehle vom Betriebssystem entgegenzunehmen. HoneyMyte kopiert damit ein Stück Ingenieurskunst, die eigentlich für harmlose Hardware gedacht ist, und biegt sie für Spionage zurecht.
Für Sie als Leserin oder Leser mit IT-Sicherheitsverantwortung ist die Nachricht unangenehm konkret: Ein Treiber, der im Kernel läuft, sieht praktisch alles und wird von vielen Antivirenprodukten anders geprüft als gewöhnliche Prozesse im Nutzerraum. Genau diesen Vertrauensvorschuss nutzt HoneyMyte aus. Kaspersky ordnet den Fund der Gruppe HoneyMyte zu, die auch unter dem Namen Mustang Panda bekannt ist und seit Jahren in Spionagekampagnen gegen Behörden und Organisationen in Asien aktiv ist.
Wer CoolClient bislang als reine Windows-Backdoor ohne besondere Tarnkappentricks abgehakt hat, muss diese Einschätzung revidieren. Die neue Variante verschiebt einen Teil der Verteidigungsarbeit vom Nutzerraum in den Kernel – dorthin, wo klassische Endpoint-Software traditionell schlechter hinsieht.
Genau diese Verschiebung vom reinen Software-Trick zum kernelnahen Schutzmechanismus unterscheidet die aktuelle CoolClient-Version von allem, was HoneyMyte bislang bei dieser Backdoor-Familie gezeigt hat. Wer Sicherheitsprodukte ausschließlich im Nutzerraum betreibt, verliert genau dort an Sichtbarkeit, wo der Treiber am aktivsten eingreift. Auch anderswo zeigt sich derzeit, wie stark Angreifer auf vertrauenswürdige Software-Ökosysteme setzen: Erst kürzlich beschrieben wir, wie eine kritische Lücke in einer Browser-Erweiterung Zugriff auf Gmail- und Google-Konten öffnete – ein anderer Angriffsweg, aber dieselbe Grundidee, etablierte Vertrauensmechanismen gegen die eigenen Nutzer zu wenden.
Wer CoolClient ist und wofür die Backdoor bislang stand
CoolClient ist laut Kaspersky eine Backdoor-Familie, die HoneyMyte seit Jahren in Spionagekampagnen gegen Organisationen in Asien und Russland einsetzt. Zum Funktionsumfang zählen Keylogging, Diebstahl von Zwischenablage-Inhalten, das Abgreifen von Zugangsdaten, Dateiverwaltung, Systemaufklärung und ein Plugin-Rahmenwerk, mit dem sich die Backdoor je nach Ziel erweitern lässt. Das ist Standardrepertoire für staatsnahe Spionagegruppen – aber eines, das seit Jahren zuverlässig funktioniert.
Öffentlich bekannt wurde CoolClient erstmals 2022 durch eine Analyse von Sophos, 2023 folgte eine weitere Untersuchung von Trend Micro. Seitdem hat die Malware laut Kaspersky mehrere Entwicklungsschritte durchlaufen. Eine frühere Version, die Kaspersky selbst 2025 analysierte, führte Diebstahl aus der Zwischenablage sowie das Abfangen von HTTP-Verkehr zum Zugangsdaten-Diebstahl ein.
Kasperskys eigene frühere Untersuchung dokumentierte bereits, wie flexibel HoneyMyte einzelne CoolClient-Module austauscht, ohne die Grundarchitektur der Backdoor zu verändern. Diese Kontinuität macht Erkennungsregeln, die nur auf alten Dateihashes basieren, unzuverlässig, weil sich Hashes und Dateinamen von Version zu Version ändern, während die Kernlogik weitgehend bestehen bleibt.
Die aktuelle Analyse markiert damit keinen ersten Auftritt, sondern die nächste Ausbaustufe eines Werkzeugs, das sich seit vier Jahren im Feld bewährt. Wer eine Bedrohung nur nach ihrem Alter beurteilt, unterschätzt das hier: Eine über Jahre gepflegte Backdoor bekommt gerade ihre bislang unangenehmste Erweiterung.
Die Angriffskette von PlugX bis zum getarnten Treiber
In der von Kaspersky beobachteten Kampagne gegen Myanmar setzte HoneyMyte zunächst PlugX als Erstzugriffs-Implantat ein, um anschließend die CoolClient-Komponenten nachzuladen. Vor der eigentlichen Infektion trug der Angreifer sowohl eine Ordner- als auch eine Datei-Ausnahme in Microsoft Defender ein – für ein gefälschtes Windows-Defender-Verzeichnis und für die umbenannte Sideloader-Datei defender.exe. Wer das liest, erkennt sofort das Muster: Der Angreifer tarnt sich als genau jenes Sicherheitsprodukt, das ihn eigentlich stoppen sollte.
Anschließend legte der Angreifer ein gefälschtes Windows-Defender-Verzeichnis an, kopierte die CoolClient-Komponenten hinein und benannte eine legitime Sangfor-Anwendung, üblicherweise Sang.exe, in defender.exe um. Diese Anwendung dient als DLL-Sideloader: Sobald defender.exe ausgeführt wird, lädt sie die bösartige libngs.dll und startet damit die eigentliche CoolClient-Ausführungskette.
Von dort verzweigt der Code je nach Kontext. Läuft die DLL im ursprünglichen Sideload-Prozess, kümmert sie sich um Persistenz, UAC-Umgehung, Registry-Änderungen und Prozess-Injektion. Läuft sie bereits innerhalb von synchost.exe, entschlüsselt sie stattdessen time.ini, installiert den Kernel-Treiber und lädt die letzte Implantat-Stufe cert.ini nach. Diese Verzweigung ist kein Zufall, sondern ein bewusstes Sicherheitsnetz: Bricht ein Schritt ab, bleibt der Angriff trotzdem funktionsfähig.
Bemerkenswert ist außerdem, dass CoolClient in der aktuellen Variante nicht mehr write.exe, sondern synchost.exe für die Injektion nutzt – ein kleiner, aber für signaturbasierte Erkennung durchaus relevanter Wechsel. Wer Erkennungsregeln noch auf den alten Prozessnamen abgestimmt hat, sollte sie an dieser Stelle nachziehen.
Der Grund: ein Kernel-Treiber die Erkennung erschwert
Sobald CoolClient mit administrativen Rechten läuft, prüft die Malware, ob die Berechtigung für den Service Control Manager sowie das Privileg SeTcbPrivilege vorhanden sind. Sind beide Bedingungen erfüllt, extrahiert sie einen eingebetteten, LZMA-komprimierten Treiber aus loadcert.ini, entpackt ihn und schreibt ihn als msagent.sys auf die Festplatte, im selben Verzeichnis wie cert.ini. Anschließend installiert und startet CoolClient den Treiber als Windows-Dienst.
Der Nutzerraum-Teil von CoolClient registriert sich danach über die IOCTL-Anfrage 0x222120 selbst als vertrauenswürdiger Prozess beim Treiber. Eine zweite Anfrage übermittelt die konfigurierte C2-IPv4-Adresse, eine dritte registriert Dateisystem- und Registry-Pfade, die verborgen oder geschützt werden sollen. Der Treiber selbst implementiert nach Kasperskys Zählung 33 solcher IOCTL-Handler – die analysierte Probe nutzt im Regelbetrieb aber nur drei davon.
Im Kernel selbst arbeitet der Treiber mit einem Minifilter für das Dateisystem, einem Registry-Callback und Objekt-Callbacks für Prozesse und Threads. Zugriffe auf geschützte Pfade werden verweigert, geschützte Registry-Einträge verschwinden aus Enumerationsergebnissen, und Prozesshandles auf geschützte Prozesse verlieren kritische Zugriffsrechte. Zusätzlich hakt sich der Treiber in den Nsiproxy-Treiber ein, um registrierte C2-Adressen aus Netzwerkinformationen herauszufiltern, bevor Anwendungen im Nutzerraum sie zu sehen bekommen.
Diese Kombination erklärt, warum Sicherheitsprodukte, die nur den Nutzerraum überwachen, hier blind werden. Ein Prozess, der aus der aktiven Prozessliste unlinked wird, taucht in klassischen Enumerationsroutinen schlicht nicht mehr auf. Für Verteidigende bedeutet das: Ohne Kernel-Telemetrie oder Treiber-Integritätsprüfung bleibt diese Tarnung praktisch unsichtbar.
Ein Treiberzertifikat mit fragwürdiger Herkunft
Der Treiber msagent.sys ist digital signiert, mit einem Zertifikat, das ursprünglich auf „Nanjing Ranyi Technology Co., Ltd.“ ausgestellt wurde. Die Seriennummer lautet laut Kasperskys Untersuchung 3E 62 DC 5D 8D 61 2A 26 33 E7 6B DF D6 07 19 DD, und das Zertifikat war ursprünglich nur von August 2013 bis September 2014 gültig. Eine Jahrzehnte alte Signatur schützt hier eine brandneue Kampagne, denn Windows prüft in vielen Konfigurationen weiterhin vor allem, ob überhaupt eine gültige Signaturkette vorliegt.
Kaspersky fand im PDB-Pfad des Treibers zusätzliche Hinweise: Zeichenketten wie „Nanjing Laboratory“ und einen chinesischen Namen, der sich am ehesten als Entwicklungsumgebung lesen lässt. Eine Zuordnung zu einer bekannten Organisation oder einem bekannten Entwickler gelang trotz eigener OSINT-Recherche nicht. Kaspersky fand zudem ältere, um 2013 kompilierte Treiber mit demselben Zertifikat, ohne dass sich daraus eine direkte Verbindung zur aktuellen CoolClient-Aktivität ableiten ließ.
HoneyMyte hat Kernel-Funktionalität bereits zuvor eingesetzt, etwa in der Malware ToneShell. Der neue CoolClient-Treiber setzt dieses Muster fort, mit eigenen IOCTL-Handlern, die dem Nutzerraum-Backdoor direkten Zugriff auf die Schutzfunktionen des Treibers geben. Für eine Gruppe, die seit Jahren dieselben Baukästen wiederverwendet, ist das eher folgerichtig als überraschend.
Wo Kaspersky die Angriffe beobachtet hat
Kaspersky beobachtete die aktualisierte CoolClient-Variante samt Treiber in mehreren Ländern Asiens, darunter Pakistan, die Mongolei und Myanmar. Unter den identifizierten Opfern befinden sich nach Angaben der Analyse auch bestätigte Regierungsstellen. Das passt zum bisherigen Zielprofil von HoneyMyte, das sich seit Jahren auf staatliche und staatsnahe Institutionen konzentriert.
In allen beobachteten Fällen diente CoolClient als sekundäre Backdoor, die nach einer PlugX-Infektion nachgeladen wurde. Dieses zweistufige Muster – zuerst PlugX für den Erstzugriff, dann CoolClient für die eigentliche Spionagearbeit – bestärkt laut Kaspersky die Zuordnung zu HoneyMyte zusätzlich, weil es sich konsistent durch mehrere Kampagnen der Gruppe zieht.
Für Verteidigende in betroffenen Regionen ist dieser Zweischritt eine nützliche Frühwarnung. Wer eine PlugX-Infektion findet und für erledigt hält, sobald der offensichtliche Schädling entfernt ist, übersieht möglicherweise genau jene zweite Stufe, die HoneyMyte danach nachlädt.
Die konkrete Frage: Verteidiger aus diesem Fund mitnehmen sollten
Eine Kernel-Rootkit-Erweiterung klingt dramatisch, ändert aber wenig an den grundlegenden Verteidigungsschritten. Wer ungewöhnliche neue Dienste, unbekannte signierte Treiber oder Ausnahmeregeln in Microsoft Defender, die niemand im Team erklären kann, konsequent protokolliert und prüft, hat bereits einen wirksamen Hebel gegen genau diese Angriffskette in der Hand.
Konkret lohnt sich ein Blick auf neu registrierte Dienste mit Namen wie msagent, auf Ausnahmeregeln für vermeintliche Windows-Defender-Verzeichnisse abseits des Standardpfads sowie auf Prozesse, die sich als Sang.exe oder defender.exe tarnen, ohne aus dem erwarteten Installationsverzeichnis zu stammen. Wer Treibersignaturen automatisiert gegen bekannte, missbrauchte Zertifikate abgleicht, verkürzt die Zeit bis zur Erkennung erheblich.
Ursache ist eine wiederverwendete, veraltete Signaturkette kombiniert mit laxer Prüfung von Ausnahmeregeln. Auswirkung ist eine Backdoor, die im Kernel praktisch unsichtbar wird. Gegenmaßnahme ist eine Kombination aus Kernel-Telemetrie, sauberer Pflege von Defender-Ausnahmen und regelmäßiger Prüfung neu installierter Dienste – kein Grund zur Panik, aber ein guter Anlass, die eigene Treiberliste einmal ehrlich durchzugehen. Wer zusätzlich prüft, ob im eigenen Unternehmen bereits kompromittierte Zugangsdaten kursieren, findet dazu praktische Hinweise in unserer Analyse zu automatisiertem Credential Stuffing nach einem Passwort-Manager-Breach, denn beide Angriffswege treffen sich am selben Punkt: einem Endpunkt, dem zu viel vertraut wurde.
Ein Restrisiko bleibt: Solange Windows signierten Treibern grundsätzlich vertraut, solange also irgendeine gültige Zertifikatskette ausreicht, lässt sich dieser Trick in abgewandelter Form wiederholen. Das ist kein Grund, jeden signierten Treiber pauschal zu misstrauen, aber ein guter Grund, ungewöhnliche neue Treiber genauso ernst zu nehmen wie ungewöhnliche neue ausführbare Dateien. Wer heute eine Ausnahmeliste in Defender pflegt, sollte sich fragen, wann sie zuletzt jemand tatsächlich gegengeprüft hat – nicht nur, ob sie technisch noch funktioniert.
Was halten Sie von dem Thema? Hier können Sie mit anderen Leserinnen und Lesern ins Gespräch gehen.
Mitreden & diskutieren
Ihre Meinung zählt — teilen Sie Gedanken, Fragen oder Erfahrungen zu diesem Artikel.