Ransomware GodDamn dùng driver PoisonX để vô hiệu hóa phòng thủ endpoint theo mô hình BYOVD
"Researchers reported a new ransomware family, GodDamn, that uses the PoisonX kernel driver in a BYOVD-style attack to disable endpoint security tools before encryption. The campaign also used AnyDesk, PsExec, and credential harvesting to move laterally and persist across multiple hosts; no CVE was cited, and the main mitigation is detecting/blocking malicious or vulnerable drivers and related defense-evasion tooling."
Tác động chủ yếu nằm ở việc vô hiệu hóa AV/EDR trước khi mã hóa, làm tăng xác suất thành công của ransomware. Điểm đáng chú ý gồm PoisonX driver được ký hợp lệ để Windows tải tự động và chuỗi BYOVD giúp vượt qua cơ chế bảo vệ truyền thống.
Rủi ro vận hành tăng do kẻ tấn công có thể di chuyển ngang và duy trì truy cập qua dịch vụ tự khởi động, dẫn tới gián đoạn diện rộng. Việc mã hóa dữ liệu sau khi suy giảm phòng thủ có thể gây tổn thất thời gian khôi phục và chi phí ứng phó sự cố.
Các nhà nghiên cứu ghi nhận một họ ransomware mới tên GodDamn. Chiến dịch này được cho là sử dụng PoisonX kernel driver trong mô hình BYOVD (bring your own vulnerable driver) nhằm vô hiệu hóa hoặc làm suy giảm công cụ bảo mật trên endpoint trước khi thực hiện mã hóa dữ liệu.
Theo báo cáo của Threat Hunter Team, GodDamn được phát hiện công khai lần đầu vào 21/05/2026 và được đánh giá là bản đổi tên của chuỗi ransomware trước đó (liên quan Beast và Monster). Nhóm phát triển bị theo dõi dưới tên Hyadina.
Trong một vụ việc đầu tháng 06/2026, kẻ tấn công dùng AnyDesk để truy cập từ xa, kết hợp toolkit thu thập thông tin đăng nhập dựa trên NirSoft. Công cụ này nhắm tới dữ liệu từ trình duyệt, Windows Credential Manager, thông tin miền lưu đệm, phiên VNC, ứng dụng email, hồ sơ Wi‑Fi và lưu lượng mạng trực tiếp. Ngoài ra, chiến dịch còn dùng PsExec để di chuyển ngang và thiết lập AnyDesk như dịch vụ tự khởi động để duy trì sau khởi động lại.
Về phòng thủ, PoisonX được mô tả là driver độc hại nhưng đã được ký hợp lệ, khiến Windows tải tự động. Khuyến nghị: rà soát và phát hiện/ chặn driver độc hại hoặc driver dễ bị lợi dụng, giám sát hành vi vô hiệu hóa AV/EDR và kiểm soát quyền quản trị để giảm khả năng triển khai driver ký hợp lệ.