Nach Angaben von Kaspersky bleibt der grundsätzliche Ablauf der Schadsoftware mit früher dokumentierten CoolClient-Varianten vergleichbar. Neu sei jedoch ein bislang nicht dokumentierter Treiber im Kernel-Modus, der die Tarnfähigkeiten der Malware deutlich ausbaue. Die aktuelle Variante kann den Treiber als Windows-Dienst installieren und ihn aus der Backdoor im Benutzermodus über Ein-/Ausgabe-Steuerbefehle, also IOCTL-Anfragen, ansteuern.

CoolClient unterstützt laut Kaspersky unter anderem Tastatureingaben mitprotokollieren, das Auslesen der Zwischenablage, das Abgreifen von Zugangsdaten, Dateiverwaltung, Systemaufklärung und zusätzliche Funktionen über Plugins. In einer Kampagne gegen Ziele in Myanmar nutzte HoneyMyte demnach zunächst PlugX als Implantat nach der Kompromittierung, um anschließend CoolClient zu platzieren. Dabei wurden in Microsoft Defender Ausnahmen für ein gefälschtes Installationsverzeichnis von Windows Defender und eine umbenannte Datei zum Sideloading hinterlegt.

Die Akteure kopierten die Malware-Komponenten in dieses Verzeichnis, benannten eine legitime Sangfor-Datei für DLL-Sideloading in defender.exe um und richteten Persistenz über eine geplante Aufgabe ein, die die Binärdatei beim Systemstart mit SYSTEM-Rechten startet. Die Ausführung beginnt, wenn die legitime Sangfor-Anwendung eine manipulierte libngs.dll lädt. Diese entschlüsselt und startet die zweite Stufe loadcert.ini. Diese Komponente übernimmt laut Kaspersky Persistenz, Änderungen an der Registry, die Umgehung der Benutzerkontensteuerung, Prozessinjektion, die Bereitstellung des Treibers und das Laden des Implantats cert.ini, das für C2-Kommunikation und Backdoor-Funktionen zuständig ist.

Die zweite Stufe legt einen AutoRun-Registry-Eintrag mit dem Namen goopdate an und kann einen Windows-Dienst namens media_updaten installieren. Zudem nutzt sie eine Technik zur Prozesserzeugung auf Basis von Remote Procedure Call in Kombination mit PPID-Spoofing, um sich in einem erhöhten Kontext neu zu starten, bevor Code in einen Prozess namens synchost.exe injiziert wird.

Sind die nötigen Rechte vorhanden, extrahiert loadcert.ini einen eingebetteten, mit LZMA komprimierten Kernel-Treiber, schreibt ihn als msagent.sys auf die Festplatte und erstellt und startet einen Treiberdienst namens msagent. Laut Kaspersky ist der Treiber digital mit einem Zertifikat signiert, das auf Nanjing Ranyi Technology Co., Ltd. ausgestellt war und von August 2013 bis September 2014 gültig war. Das Unternehmen fand zudem mehrere ältere schädliche Treiber mit demselben Zertifikat und einer Kompilierung um 2013, sah aber keine Belege für eine direkte Verbindung dieser Funde zur beobachteten CoolClient-Aktivität.

Nach dem Laden erhält der Treiber seine Konfiguration von der CoolClient-Komponente im Benutzermodus über IOCTL-Anfragen. In der untersuchten Probe beobachtete Kaspersky im normalen Ablauf drei dieser Anfragen. Eine davon erlaubt dem registrierten CoolClient-Prozess den Zugriff auf geschützte Dateien, Registry-Schlüssel und Prozesse. Eine weitere registriert Installationsverzeichnis und Dienstpfad in der Registry, damit diese Objekte vor Untersuchung, Änderung und Löschung geschützt werden können.

Die Rootkit-Konfiguration liegt unter \REGISTRY\MACHINE\SYSTEM\RNG und verwendet getrennte Einträge für Verzeichnisse, Dateien, Registry-Schlüssel und -Werte sowie Prozesse, die verborgen, geschützt oder ignoriert werden sollen. Der Treiber registriert Rückruffunktionen für Dateisystem, Registry, Prozesse, Objekte und das Laden von Images und nutzt diese Einträge bei Aktivitäten auf dem infizierten Windows-System. Zum Schutz von Prozessen kann er Zugriffsrechte verringern, wenn ein anderer Prozess ein Handle auf einen geschützten Prozess öffnen will, und so etwa Beendigung oder Code-Injektion verhindern. In der analysierten Probe enthielt der geschützte Prozess laut Kaspersky in synchost.exe injizierten CoolClient-Code.

Darüber hinaus blendet der Treiber Prozesse aus, indem er Einträge aus der aktiven Prozessliste von Windows entfernt. Ein Dateisystem-Minifilter verweigert den Zugriff auf geschützte Dateien und Verzeichnisse. Ein Registry-Callback entfernt geschützte Schlüssel und Werte aus Auflistungen und blockiert Änderungen oder Löschungen. Ein separater Hook im Windows-Treiber Nsiproxy filtert konfigurierte C2-IPv4-Adressen aus Netzwerkinformationen heraus, die an den Benutzermodus zurückgegeben werden.

Kaspersky stellte fest, dass msagent.sys insgesamt 33 IOCTL-Handler implementiert, darunter Funktionen zum Verbergen von Prozessen und Kernel-Modulen, zur Manipulation von Registry-Werten und zur Interaktion mit Kernel-Benachrichtigungsroutinen. In der analysierten Probe wurden während des normalen Ablaufs jedoch nur die drei genannten IOCTLs genutzt; für die übrigen Handler beobachteten die Forscher keine Verwendung.

Die Veröffentlichung folgt mehr als ein halbes Jahr nach einer früheren Kaspersky-Offenlegung, wonach eine neuere CoolClient-Variante in Kampagnen gegen Pakistan und Myanmar ein zuvor unbekanntes Rootkit ablegte und ausführte. Separat hatte Kaspersky bereits im Dezember 2025 ein anderes HoneyMyte-Rootkit im Kernel-Modus beschrieben, das zum Laden der Backdoor ToneShell eingesetzt wurde. Nach Darstellung des Unternehmens ähnelt der Aufbau des neuen CoolClient-Treibers den Kernel-Erweiterungen von ToneShell, während die CoolClient-Komponente eigene IOCTL-Handler für die direkte Kommunikation mit der Backdoor im Benutzermodus bereitstellt.