Обход антивирусной защиты

Обход антивирусной защиты HoneyMyte через внедрение в ядро Windows

Группа HoneyMyte в 2026 году активизировала атаки с использованием обновленного бэкдора CoolClient, который работает на уровне драйвера ядра Windows. Обход антивирусной защиты в этом сценарии достигается за счет скрытия вредоносных процессов, файлов и сетевых соединений от стандартных средств мониторинга. Злоумышленники также создают поддельные каталоги, имитирующие компоненты Microsoft Defender, и используют легитимные утилиты для маскировки загрузчика. Такая тактика делает угрозу невидимой для традиционных сканеров и вводит администраторов в заблуждение относительно статуса безопасности системы.

Событие: В 2026 году группа HoneyMyte атаковала организации в России, Индии, Пакистане, Монголии и Мьянме, используя бэкдор CoolClient с драйвером ядра для скрытия активности.

Фактор: Переход вредоносного ПО в пространство ядра системы позволяет обходить антивирусную защиту, делая процессы невидимыми для средств, работающих на уровне пользователя.

Эффект: Создание поддельных каталогий и файлов, имитирующих Microsoft Defender, приводит к ложному чувству безопасности и пропуска инцидентов при рутинной проверке.

Риск: Традиционные методы сканирования становятся неэффективными, создавая слепые зоны в безопасности и требуя сложных процедур очистки с перезагрузкой в безопасном режиме.

Связь: Успешный обход антивирусной защиты напрямую обусловлен использованием легитимной программы Sangfor, переименованной в defender.exe, для активации вредоносной библиотеки libngs.dll.

Подробнее →