C
月内に
Mustang Panda（別名HoneyMyte）が、バックドア「CoolClient」をアップグレードし、署名済みカーネルドライバを導入したこと
📌 一言でいうと
Mustang Panda（別名HoneyMyte）が、バックドア「CoolClient」をアップグレードし、署名済みカーネルドライバを導入したことが判明しました。このドライバにより、プロセス、ファイル、レジストリ、ネットワーク活動を隠蔽することが可能になり、検知が極めて困難になっています。パキスタン、モンゴル、ミャンマー、ロシアなどの政府機関を含む組織が標的となっています。
🔍該当判定
- Windows OSを搭載したPCを社内で利用している
- 政府機関や外交関連の業務、またはそれらとの取引がある
- パキスタン、モンゴル、ミャンマー、ロシアなどの地域とビジネス上の接点がある
- 不審なメールの添付ファイルやリンクを社内で開封した可能性がある
上記いずれにも該当しない → 静観でOK
✅該当時の対応
EDR/XDRによるカーネルレベルの監視を強化し、不審な署名済みドライバのロードを検知・遮断する設定を検討してください。また、不審なIOCTLリクエストなどの異常な通信パターンの監視を推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Mustang PandaによるCoolClientの機能強化（カーネルルートキット導入）について
お疲れさまです。Mustang Pandaが使用するバックドア「CoolClient」の最新バリアントに関する情報共有です。
■ 概要
CoolClientに署名済みカーネルモードドライバが導入されました。これにより、OSレベルでプロセス、ファイル、レジストリ、ネットワーク活動を隠蔽するルートキット機能が追加され、従来のユーザーモード検知ツールでは発見が困難になっています。
■ 影響範囲
- Windows OS（署名済みドライバを悪用した権限昇格・隠蔽）
- 主に政府機関等の標的型攻撃
■ 対応手順
1. EDR等のセキュリティ製品において、不審なカーネルドライバのロードを検知する設定の確認
2. 署名済みであっても、未知または不審なドライバの実行を制限するポリシーの検討
3. ネットワークレベルでのC2通信の監視強化
■ 参考情報
- Kaspersky Analysis
対応優先度: 中
対応期限: 継続的な監視
お疲れさまです。Mustang Pandaが使用するバックドア「CoolClient」の最新バリアントに関する情報共有です。
■ 概要
CoolClientに署名済みカーネルモードドライバが導入されました。これにより、OSレベルでプロセス、ファイル、レジストリ、ネットワーク活動を隠蔽するルートキット機能が追加され、従来のユーザーモード検知ツールでは発見が困難になっています。
■ 影響範囲
- Windows OS（署名済みドライバを悪用した権限昇格・隠蔽）
- 主に政府機関等の標的型攻撃
■ 対応手順
1. EDR等のセキュリティ製品において、不審なカーネルドライバのロードを検知する設定の確認
2. 署名済みであっても、未知または不審なドライバの実行を制限するポリシーの検討
3. ネットワークレベルでのC2通信の監視強化
■ 参考情報
- Kaspersky Analysis
対応優先度: 中
対応期限: 継続的な監視
Subject: [Intel] Mustang Panda's CoolClient Upgrade with Kernel Rootkit
Dear team,
We are sharing intelligence regarding a new variant of the CoolClient backdoor used by Mustang Panda.
■ Overview
Mustang Panda has integrated a signed kernel-mode driver into CoolClient. This allows the implant to hide processes, files, registry entries, and network activity from inspection, effectively acting as a rootkit and bypassing many standard detection tools.
■ Scope
- Windows OS (via signed driver exploitation)
- Targeted government entities in Asia and Russia
■ Recommended Actions
1. Review EDR/XDR configurations to ensure visibility into kernel-mode driver loading.
2. Implement policies to monitor or restrict the loading of unsigned or suspicious signed drivers.
3. Enhance network monitoring for known Mustang Panda C2 patterns.
■ Reference
- Kaspersky Analysis
Priority: Medium
Deadline: Ongoing monitoring
Dear team,
We are sharing intelligence regarding a new variant of the CoolClient backdoor used by Mustang Panda.
■ Overview
Mustang Panda has integrated a signed kernel-mode driver into CoolClient. This allows the implant to hide processes, files, registry entries, and network activity from inspection, effectively acting as a rootkit and bypassing many standard detection tools.
■ Scope
- Windows OS (via signed driver exploitation)
- Targeted government entities in Asia and Russia
■ Recommended Actions
1. Review EDR/XDR configurations to ensure visibility into kernel-mode driver loading.
2. Implement policies to monitor or restrict the loading of unsigned or suspicious signed drivers.
3. Enhance network monitoring for known Mustang Panda C2 patterns.
■ Reference
- Kaspersky Analysis
Priority: Medium
Deadline: Ongoing monitoring