GodDamn: ransomware explora driver assinado pela Microsoft para derrubar defesas
Uma nova variante de ransomware batizada de GodDamn vem chamando a atenção de pesquisadores de segurança por usar uma tática particularmente perigosa: a exploração de um driver de kernel malicioso, assinado pela própria Microsoft, para desativar soluções de proteção antes de criptografar os dados da vítima. Por trás dessa família está o grupo conhecido como Hyadina, responsável também pelos ransomwares Monster e Beast.
Da linhagem Monster ao GodDamn
O GodDamn não surgiu do zero. Ele é a evolução direta do Beast, que, por sua vez, foi uma reformulação do Monster, ativo desde 2022. Essa “árvore genealógica” mostra um ciclo claro de refinamento: o Monster foi lançado como um serviço de ransomware (ransomware-as-a-service), permitindo que afiliados alugassem a infraestrutura; em junho de 2024, o Beast ampliou o alcance com suporte a Linux e VMware ESXi; agora, o GodDamn adiciona técnicas mais sofisticadas de evasão de detecção, com destaque para o uso do driver PoisonX.
Pesquisadores da Symantec, que rastreiam o desenvolvedor por trás dessas famílias sob o codinome Hyadina, apontam que o grupo vem investindo sistematicamente em mecanismos para contornar produtos de segurança de forma mais silenciosa e eficaz.
Linha do tempo do ataque com GodDamn
A primeira observação documentada do GodDamn ocorreu em 21 de maio de 2026, e o caso analisado com mais profundidade remete a um ataque que se desenrolou do fim de maio ao início de junho do mesmo ano.
– 29 de maio de 2026: o ponto inicial da infecção foi a instalação do AnyDesk na pasta Music do usuário, um local pouco usual para softwares legítimos, mas que muitas vezes passa despercebido por usuários e até por alguns controles de segurança mais superficiais.
– Dias depois, os invasores executaram uma ferramenta de evasão batizada de `symantec.exe`, que tinha a função de baixar e carregar no sistema o driver PoisonX (`g11.sys`).
– Em paralelo, foi implantado um pacote robusto de roubo de credenciais, com 14 ferramentas especializadas, incluindo o conhecido Mimikatz e vários utilitários da NirSoft, focados em extrair senhas de navegadores, clientes de e-mail e outros aplicativos.
Movimento lateral e preparação do terreno
A partir de 1º de junho, o foco dos criminosos passou a ser a movimentação lateral dentro da rede da vítima. Para isso, foi utilizado o PsExec, ferramenta da suíte Sysinternals frequentemente explorada por atacantes para executar comandos remotamente.
Nesse estágio, os invasores:
– Desativaram o monitoramento em tempo real do Microsoft Defender;
– Instalaram o AnyDesk em múltiplos hosts, configurando acesso não interativo (sem necessidade de aprovação do usuário a cada conexão);
– Criaram serviços específicos para garantir persistência mesmo após reinicializações, mantendo a porta aberta para continuar controlando o ambiente comprometido.
Execução do ransomware e criptografia
Em 3 de junho, os pesquisadores detectaram o executável do ransomware propriamente dito, identificado como `encrypter-windows-gui-x86.exe`. Com o terreno já preparado e as defesas significativamente enfraquecidas, o GodDamn iniciou a criptografia em massa dos arquivos.
Os arquivos afetados foram renomeados com a extensão .God8Damn; em alguns incidentes, a extensão foi substituída pelo próprio nome da organização alvo, uma tática psicológica que reforça a sensação de personalização do ataque e aumenta a pressão pelo pagamento do resgate.
PoisonX: driver malicioso com assinatura legítima
O elemento mais preocupante dessa cadeia de ataque é o driver PoisonX. Ele foi documentado pela primeira vez no início de 2026, quando foi utilizado para derrubar o serviço de proteção Falcon, da CrowdStrike, por meio do envio de um comando IOCTL especialmente construído para explorar uma interface não documentada do driver.
O diferencial do PoisonX é que ele vem assinado digitalmente pela Microsoft. Para o sistema operacional, isso significa que o driver aparenta ser confiável e legítimo, o que facilita seu carregamento no kernel e dificulta a detecção por soluções baseadas em reputação ou políticas de bloqueio de drivers não assinados. Uma vez carregado, o driver tem permissão para interromper ou desabilitar softwares de segurança em um nível muito profundo, praticamente no coração do sistema.
Além do BYOVD: um driver feito para atacar
A técnica usada se aproxima do conhecido padrão BYOVD (bring-your-own-vulnerable-driver), em que invasores carregam um driver legítimo, porém vulnerável, e exploram essa falha para desativar mecanismos de proteção. No entanto, o caso do PoisonX vai além.
Segundo os pesquisadores, tudo indica que o PoisonX não seja um driver legítimo com uma falha de segurança, mas sim um componente propositalmente malicioso, que, ainda assim, conseguiu obter uma assinatura válida da Microsoft. Ou seja: em vez de “levar seu próprio driver vulnerável”, os operadores do GodDamn estão levando um driver malicioso certificado, o que representa um salto qualitativo significativo nas capacidades de evasão do grupo Hyadina.
Hyadina: evolução contínua e foco em evasão
Desde março de 2022, quando o Monster apareceu pela primeira vez, o Hyadina vem demonstrando um padrão claro de maturidade operacional. A transformação do Monster em Beast e, depois, em GodDamn mostra que o grupo:
– acompanha atentamente as respostas do mercado de segurança;
– investe em novas ferramentas para driblar controles de defesa;
– amplia o escopo de ataque para diferentes plataformas e ambientes (Windows, Linux, ESXi);
– refina o uso de ferramentas legítimas de administração (AnyDesk, PsExec) para se misturar a atividades normais de TI.
O uso do PoisonX, agora, marca uma escalada: o grupo não se contenta mais em explorar falhas conhecidas, mas passou a recorrer a componentes com aparência totalmente confiável, assinados por autoridades reconhecidas.
Por que esse tipo de ataque é tão perigoso?
A combinação de:
– acesso remoto por ferramentas legítimas;
– roubo massivo de credenciais;
– desativação de defesas de segurança;
– uso de driver de kernel assinado;
– e criptografia final com personalização por vítima
cria um cenário em que a detecção precoce é muito mais difícil. Muitas organizações baseiam sua confiança em assinaturas digitais e em soluções de segurança tradicionais que rodam em modo de usuário. Quando um driver com privilégios de kernel consegue agir “por baixo” dessas soluções, a capacidade de resposta fica drasticamente reduzida.
Além disso, ao obter controle remoto estável com AnyDesk e serviços persistentes, os atacantes podem passar dias ou semanas mapeando a infraestrutura, identificando servidores críticos, coletando dados sensíveis para dupla extorsão (vazamento + criptografia) e planejando o momento mais devastador para acionar o ransomware.
Como reduzir o risco de ataques como o GodDamn
Embora não exista proteção absoluta, algumas medidas práticas ajudam a diminuir a superfície de ataque e a capacidade de dano de campanhas como a do GodDamn:
1. Controle rígido de softwares de acesso remoto
– Restrinja o uso de ferramentas como AnyDesk, TeamViewer e similares apenas a equipes autorizadas.
– Aplique whitelisting de aplicativos, impedindo que executáveis sejam iniciados a partir de pastas de usuário, como Documents, Downloads ou Music.
– Monitore a instalação e a configuração de acesso não interativo nesses softwares.
2. Políticas de drivers e controle de kernel
– Ative políticas para restringir o carregamento de drivers não autorizados, mesmo que assinados.
– Utilize recursos de proteção de integridade de código do sistema operacional.
– Mantenha inventários de drivers aprovados e revise regularmente alterações nesse conjunto.
3. Monitoramento de ferramentas administrativas
– PsExec, PowerShell, WMIC e outras ferramentas de administração remota devem ser monitoradas com atenção.
– Crie alertas para execuções inusitadas, especialmente fora do horário comercial ou a partir de contas que normalmente não fazem esse tipo de operação.
4. Defesa em profundidade e segmentação de rede
– Implante múltiplas camadas de segurança: EDR, firewall de próxima geração, sistemas de detecção de intrusão e monitoramento de logs.
– Segmente a rede para que o acesso lateral não seja trivial. Servidores críticos devem ficar em segmentos com regras bem restritivas.
5. Gestão de credenciais e privilégios
– Aplique o princípio do menor privilégio: contas administrativas devem ser poucas, monitoradas e usadas apenas quando necessário.
– Utilize autenticação multifator (MFA) em serviços internos e externos.
– Revise periodicamente contas antigas, credenciais genéricas e acessos de terceiros.
6. Backups resilientes e testados
– Mantenha cópias de segurança offline ou em ambientes isolados logicamente da rede principal.
– Teste regularmente a restauração para garantir que os backups sejam utilizáveis em um cenário real de incidente.
– Documente procedimentos de recuperação para reduzir tempo de parada.
Sinais de comprometimento a observar
Organizações interessadas em identificar precocemente atividades relacionadas a famílias como GodDamn devem prestar atenção a:
– instalação ou execução de AnyDesk e outras ferramentas de acesso remoto em locais incomuns;
– criação de novos serviços ligados a executáveis desconhecidos;
– desativação repentina de monitoramento em tempo real do antivírus ou de recursos nativos de proteção do sistema;
– presença de utilitários como Mimikatz e ferramentas da NirSoft em estações comuns de usuários;
– tentativas de carregamento de drivers novos ou não documentados, mesmo que com assinatura válida.
Cultura de segurança e resposta a incidentes
Além da tecnologia, a postura da organização frente a incidentes é determinante. Ter um plano de resposta estruturado, com papéis e responsabilidades definidos, pode diminuir o impacto de ataques como o do GodDamn. Isso inclui:
– processos claros para isolar máquinas suspeitas;
– comunicação interna e externa organizada para lidar com crises;
– treinamentos periódicos para equipes de TI e segurança sobre novas táticas de ransomware.
A conscientização dos usuários finais também é parte do processo. Embora no caso GodDamn o vetor inicial não tenha sido detalhado no nível de engenharia social, é comum que grupos de ransomware explorem phishing, anexos maliciosos e credenciais fracas como porta de entrada.
O que esperar da próxima geração de ransomwares
O GodDamn representa um passo adiante na profissionalização do crime cibernético: uso de drivers assinados, pacotes completos de roubo de credenciais, movimentação lateral planejada e desativação sistemática de defesas. A tendência é que grupos como o Hyadina continuem aprimorando essas capacidades, buscando novas formas de se camuflar em processos legítimos e de explorar a confiança depositada em fornecedores de tecnologia.
Organizações que tratam segurança apenas como um produto – e não como um processo contínuo – tendem a ficar em desvantagem nessa corrida. A combinação de monitoramento constante, atualizações frequentes, boas práticas de configuração e cultura de prevenção é hoje o principal antídoto contra ameaças cada vez mais sofisticadas como o GodDamn.