中国系攻撃グループ「Mustang Panda」、署名付きルートキットを悪用した新型バックドアを展開

要点

• 中国系サイバー攻撃グループ「Mustang Panda（HoneyMyte）」が、バックドア「CoolClient」の更新版を展開していることが判明した。

• 新型マルウェアにはデジタル署名されたWindowsカーネルモードルートキットが追加され、ファイルや通信の隠蔽能力が大幅に強化されている。

• 被害はミャンマー、モンゴル、パキスタン、ロシアで確認されており、政府機関も標的に含まれている。

• 攻撃では「PlugX」感染を足がかりに、正規ソフトウェアのDLLサイドローディングや特権昇格を組み合わせた巧妙な多段階侵入が行われている。

• ロシアのサイバーセキュリティ企業カスペルスキーは2026年8月、「HoneyMyte」（別名Mustang Panda）として知られる脅威アクターが、バックドア「CoolClient」の最新亜種を展開していることを明らかにした。この新型亜種にはデジタル署名が施されたWindowsカーネルモードドライバが組み込まれており、悪意あるプロセスやファイルの検知を回避するステルス機能が大幅に拡張されているという。被害はミャンマーやモンゴル、パキスタン、ロシアなどの政府機関を含む組織で確認されている。

ステルス性能を高めるカーネルモードルートキットの追加

カスペルスキーの分析によると、今回確認された検体は従来から観測されているCoolClientの実行フローを踏襲しつつも、これまで文書化されていなかったカーネルモードドライバが導入されている点が大きな特徴だという。

ルートキット（OSの深層で不正プログラムの存在や活動を隠蔽するツール）として機能するこのドライバにより、攻撃に関連するプロセス、ファイル、レジストリオブジェクト、C2（指令サーバ）ネットワーク情報をセキュリティ監視から隠蔽し、保護することが可能になったと報告されている。

PlugX感染を起点とする多段階の侵入プロセス

今回の攻撃キャンペーンでは、まず侵入後の初期インプラントとしてマルウェア「PlugX」が送り込まれ、その後にセカンダリ（第2段階）のバックドアとしてCoolClientが配備されるパターンが一貫して確認されている。

ミャンマーを標的とした事例では、攻撃者はまずMicrosoft Defenderの除外設定に偽のWindows Defenderインストールディレクトリと、リネームした実行ファイルを登録した。続いて、中国Sangfor社製の正規実行ファイルを「defender.exe」という名称に変更して配置し、システム起動時にSYSTEM権限で自動実行されるタスクスケジュールを作成して永続化を図った。

このdefender.exeが起動すると、DLLサイドローディング（正規プログラムが悪意あるライブラリを誤って読み込む仕組み）によって「libngs.dll」がロードされ、第2ステージのコンポーネント「loadcert.ini」が復号・実行される。loadcert.iniはUAC（ユーザーアカウント制御）のバイパスやレジストリの改変、RPC（リモートプロシージャコール）とPPID（親プロセスID）偽装を用いた特権再起動を行い、最終的に「synchost.exe」プロセスへと自身を注入する仕組みとなっている。

過去の正規署名を悪用した「msagent.sys」ドライバの配備

カーネルドライバの配備は、Service Control Manager（SCM）への完全アクセス権と特定特権（SeTcbPrivilege）が得られた場合にのみ実行される。条件を満たさない場合、マルウェアはドライバのインストールをスキップし、そのまま最終ステージのインプラントへと移行する。

特権が存在する場合、loadcert.iniは内部にLZMA形式で圧縮されていたドライバを抽出し、「msagent.sys」としてディスクに書き込んだ上で、「msagent」という名称のドライバサービスを作成・起動する。

このドライバには、中国の南京冉翼科技有限公司（Nanjing Ranyi Technology Co., Ltd.）向けに発行された、2013年8月から2014年9月まで有効だったデジタル署名が施されていた。カスペルスキーは同じ証明書で署名された2013年頃の古い不正ドライバを複数確認しているものの、それらの検体と今回のCoolClient活動を直接結びつける証拠は見つかっていないとしている。

IOCTL通信による防御と多彩なバックドア機能

起動したドライバは、ユーザーモードで動作するCoolClient本体からIOCTL（ユーザープログラムとカーネルドライバ間で通信を行う制御リクエスト）を受け取って動作する。通常実行時に使用される主なリクエストは以下の3種類が確認されている。

• 0x222120: 現在のCoolClientプロセスをドライバに信頼済みプロセスとして登録し、保護されたファイルやレジストリへのアクセス権を与える。
• 0x2221E0: 設定されたC2サーバのIPv4アドレスをドライバに渡す。
• 0x2220F0: 保護対象とするファイルシステムおよびレジストリパスを登録し、検査・変更・削除から保護する。

ルートキットはステルス設定をレジストリ（\REGISTRY\MACHINE\SYSTEM\RNG）から読み込み、ディレクトリ、ファイル、レジストリキーごとに個別の設定エントリを使用する。

これらの防御機能に守られた最終インプラント「cert.ini」は、キーロギング、クリップボード情報の窃取、認証情報の収集、ファイル管理、システム偵察を行うほか、プラグインを通じた追加機能の提供にも対応しているという。

調査機関による侵害指標の公開

カスペルスキーは一連の分析結果とともに、今回の攻撃で確認されたファイルハッシュ、配置パス、C2ドメインなどの侵害指標（IoC）を公開している。