Libngs.dll

libngs.dll выступает ключевым активатором скрытого функционала бэкдора CoolClient в атаках группы HoneyMyte

В ходе атак хакерской группы HoneyMyte в 2026 году библиотека libngs.dll используется как критический компонент для развертывания вредоносного ПО на уровне ядра Windows. Файл активируется поддельным загрузчиком, маскирующимся под системный процесс защиты, что позволяет злоумышленникам скрывать свои действия от стандартных антивирусов и администраторов. libngs.dll обеспечивает переход от начального доступа к полному контролю над системой, делая угрозу невидимой для традиционных средств мониторинга.

Событие: В 2026 году libngs.dll была зафиксирована в качестве исполняемого модуля, развертывающего функционал бэкдора CoolClient при атаках на организации в России, Индии, Пакистане, Монголии и Мьянме.

Связь: Запуск libngs.dll инициируется переименованной легитимной программой Sangfor (defender.exe), что создает прямую причинно-следственную связь между поддельным загрузчиком и активацией вредоносного ядра.

Риск: Использование libngs.dll создает слепые зоны в системах безопасности, так как стандартные сканеры не могут обнаружить процессы, скрытые драйвером ядра, развернутым этой библиотекой.

Инсайт: libngs.dll является центральным элементом тактики маскировки, позволяющей вредоносному коду имитировать легитимные компоненты Microsoft Defender и обходить проверки на уровне пользователя.

Подробнее →