Especialistas da empresa de segurança digital Kaspersky identificaram uma versão atualizada do programa espião CoolClient, operado pelo grupo de cibercriminosos HoneyMyte, também conhecido como Mustang Panda. A nova variante foi detectada em ataques contra redes de computadores no Paquistão, na Mongólia, em Mianmar e na Rússia, com foco comprovado em entidades governamentais.
A principal inovação do vírus é a inclusão de uma ferramenta avançada de camuflagem. O recurso opera na camada mais profunda do Windows e consegue esconder arquivos, proteger programas em funcionamento e impedir que softwares de proteção, como o Microsoft Defender e outros antivírus do mercado, identifiquem a invasão da máquina.
smart_display
Nossos vídeos em destaque
Em relatório publicado na sexta-feira (14), a Kaspersky destacou a sofisticação da tática adotada pelos invasores.
“Nossa análise confirma que o malware investigado é uma nova variante do CoolClient associada ao grupo de ameaças HoneyMyte. Embora o fluxo geral de execução permaneça consistente com variantes documentadas anteriormente, esta amostra introduz um driver em modo kernel nunca documentado antes, que expande significativamente as capacidades de ocultação do malware”, declarou a empresa.
CoolClient
O CoolClient funciona como uma passagem secreta no computador. O recurso permite que os invasores monitorem o que a vítima digita, copiem textos transferidos, roubem senhas e controlem arquivos à distância.
Nos casos analisados, os criminosos utilizaram um primeiro vírus chamado PlugX para preparar o terreno e criaram pastas disfarçadas com o nome do antivírus oficial da Microsoft para não despertar desconfiança.
Para garantir que o módulo oculto fosse aceito pelo computador sem alertas de segurança, o grupo utilizou uma credencial digital antiga emitida para uma empresa de tecnologia da China. Essa permissão autoriza o programa a rodar com privilégios máximos no sistema, o que permite aos invasores bloquear tentativas de exclusão de arquivos e mascarar na rede os endereços dos servidores para onde as informações roubadas são enviadas.
Em conclusões técnicas, os pesquisadores da Kaspersky alertaram para o aumento da complexidade desse tipo de ataque. “A adição de um driver ao CoolClient sugere que o grupo continua a expandir o uso de recursos para melhorar a furtividade, a persistência e a evasão de defesas durante as operações após a invasão”.
Segundo a empresa de cibersegurança, o mesmo grupo criminoso já havia demonstrado um avanço semelhante no final de 2025 ao aplicar técnicas parecidas no vírus ToneShell. O documento confirma que os invasores continuam a aprimorar métodos para manter as invasões ativas por longos períodos e dificultar a remoção do código malicioso dos computadores infectados.
Por falar em universo digital, brecha de segurança crítica em sistema de vendas online da SAP vira alvo de ataques. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.