Ransomware “GodDamn” lạm dụng BYOVD bằng driver kernel được ký hợp lệ để vô hiệu hóa phần mềm bảo mật
"The article reports that the 'GodDamn' ransomware campaign is using a malicious kernel driver signed by Microsoft to disable security software on victim systems. This is a BYOVD-style attack that abuses a trusted driver to evade defenses and facilitate ransomware deployment; no specific CVE is mentioned in the provided content."
Tác động đáng kể do BYOVD kết hợp driver được ký hợp lệ giúp kẻ tấn công vô hiệu hóa phần mềm bảo mật và tăng khả năng triển khai ransomware thành công.
Nguy cơ gián đoạn vận hành và chi phí khắc phục tăng khi hệ thống bị suy giảm khả năng phòng thủ; cần ưu tiên phát hiện tải driver bất thường để giảm thời gian dừng dịch vụ.
Một chiến dịch ransomware được ghi nhận sử dụng kỹ thuật BYOVD (Bring Your Own Vulnerable Driver) để vượt qua lớp phòng thủ trên máy nạn nhân. Theo thông tin được nêu, kẻ tấn công sử dụng một kernel driver có chữ ký hợp lệ (được Microsoft co-signed) để tác động ở mức hệ điều hành.
Cơ chế được mô tả là driver độc hại được dùng nhằm vô hiệu hóa phần mềm bảo mật trên thiết bị bị xâm nhập, làm giảm khả năng phát hiện và ngăn chặn trước khi ransomware được triển khai. Việc lạm dụng driver được tin cậy giúp kẻ tấn công né cơ chế kiểm tra chữ ký và tăng tính khả dụng của hành vi độc hại trong môi trường doanh nghiệp.
Khuyến nghị: rà soát các sự kiện tải driver lạ/không thuộc danh mục tin cậy, tăng cường giám sát kernel driver loading, và áp dụng chính sách hạn chế thực thi/ tải driver theo nguyên tắc “allowlist”. Đồng thời, duy trì quy trình phản ứng sự cố để cô lập nhanh máy bị ảnh hưởng và kiểm tra dấu hiệu triển khai ransomware.