Kiberbiztonsági kutatók egy Mianmart célzó kémkedési kampányra figyelmeztetnek, amely érettségi meghívónak álcázott csatolmányokkal terjeszt egy QUICAgent nevű, Go nyelven írt hátsóajtót. A Seqrite Labs szerint az Operation QUICSILVER COOLCLIENT fedőnevű kampány a kormányzati és az informatikai szektort veszi célba. A tevékenységet közepes bizonyossággal egy Kínához köthető támadói csoporthoz sorolják.

A támadást először 2026 áprilisában észlelték, amikor egy „HolidayNotice.pdf.exe” nevű fájlt terjesztettek, egy hamis belga–mianmari munkaszüneti napokat tartalmazó naptár kíséretében. Később, 2026 júniusában és júliusában további két mintát azonosítottak, amelyek már egy Virtual Hard Disk (VHD) fájlt használnak a fertőzési lánc elindításához.

A VHD fájlban egy Windows Shortcut (LNK) található, amely PDF dokumentumnak álcázza magát. Megnyitásakor a megtévesztett áldozat egy ál-dokumentumot lát: egy burmai nyelvű, hivatalosnak tűnő érettségi meghívót, amely a Közlekedési és Hírközlési Minisztérium alá tartozó Információtechnológiai és Kiberbiztonsági Osztálytól (ITCSD) származónak állítja be magát.

A „bejelentés” eltereli a figyelmet, miközben a parancsikon fájl észrevétlenül elindítja az „ftp.exe” programot, egy Microsoft által aláírt, legitim Windows binárist, és annak „-s” kapcsolóját kihasználva egy helyi script fájlban tárolt parancsokat futtat.

„Amíg a csalifájl megjelenik az áldozat képernyőjén, a script két dokumentumfájlt keres, a header.doc és a body.doc fájlokat, amelyek a rejtett _rels könyvtárban találhatók” – írták Priya Patel és Kartik Jivani biztonsági kutatók. „Ezután a natív Windows copy /b paranccsal összefűzi a két fájlt, és így állítja elő a következő lépcső payloadját.”

A payload egy Golang-alapú kártevő, amely a QUICAgent nevet kapta, és sandbox-elhárító technikákat alkalmaz, mielőtt kapcsolódna a command-and-control (C2) szerverhez. Többek között 100–600 milliszekundumos véletlenszerű késleltetést iktat be, majd 1000 SHA-256 hash-műveletet hajt végre, hogy kifuttassa az automatikus sandboxok időkorlátját.

A háttérben működő C2 szerver címét dinamikusan szerzi meg: HTTP GET kérést küld két Cloudflare Workers domainre. Miután lekéri a C2 címet („104.64.211[.]22”), a domainhez hozzáfűzi a 443-as portot, és így állítja össze a végső célpontot. A kártevő QUIC protokollt használ UDP 443-as porton a C2 szerverrel való kommunikációhoz.

A szerver felé küldött első jelzés (beacon) az áldozat gépének alapvető adatait is tartalmazza. A beacon öt másodpercenként ismétlődik, minden fertőzött gép egyedi X-Agent-ID azonosítót kap, amely alapján a támadók be tudják azonosítani az áldozatot. A QUICAgent viszonylag egyszerű: öt parancsot támogat, amelyekkel parancsokat futtat, fájlokat továbbít, könyvtárakat böngész, valamint módosítja a beacon időközét.

A tartós jelenlétet úgy biztosítja, hogy LNK fájlt hoz létre az aktuális felhasználó Windows Startup mappájában, így a kártevő automatikusan lefut, amikor a felhasználó legközelebb bejelentkezik a rendszerbe.

„A kampány több lépcsős fertőzési láncot használ, amely egy rosszindulatú LNK fájllal indul, majd az ftp.exe-t LOLBAS-ként kihasználva futtatja a következő lépést, két hamis dokumentumfájlból állítja össze a payloadot, és végül egy egyedi, Go-alapú hátsóajtót telepít, amelyet QUICAgentnek neveztünk el” – közölte az indiai kiberbiztonsági cég.

A nyilvánosságra hozatal egybeesik azzal, hogy a Kínához köthető Mustang Panda csoportnál egy ismert, COOLCLIENT nevű hátsóajtó frissített változatát figyelték meg. Ez képes egy aláírt kernel-módú drivert („Msagent.sys”) telepíteni, hasonlóan a TONESHELL-nél azonosított kernel-módú fejlesztésekhez. A feltételezések szerint a hátsóajtót PlugX-en keresztül, DLL sideloading technikával juttatják célba, amelyet a hackercsoport széles körben kihasznál.

A COOLCLIENT rendkívül sokféle képességgel rendelkezik: naplózza a billentyűleütéseket, ellopja a vágólap tartalmát, hitelesítő adatokat gyűjt, fájlokat kezel, felderíti a rendszert, és plugin-alapú bővítményeket is támogat. Először 2022-ben észlelték a vadonban.

„A driver növeli a kártevő rejtőzködését: elrejti a COOLCLIENT folyamatot, védi a kapcsolódó fájlokat és registry bejegyzéseket, és megakadályozza, hogy ezeket ellenőrizzék vagy módosítsák” – közölte a Kaspersky jelentése, hozzátéve, hogy a frissített variánst és a hozzá tartozó drivert mianmari, mongóliai, pakisztáni és oroszországi betörések során észlelték.

„Bár a végrehajtás teljes folyamata összhangban marad a korábban dokumentált COOLCLIENT variánsokkal, ez a minta egy eddig nem dokumentált kernel-módú drivert vezet be, amely jelentősen bővíti a kártevő rejtőzködési képességeit.”