- O nouă variantă de ransomware GodDamn folosește un driver kernel semnat de Microsoft pentru a dezactiva soluțiile de securitate.
O nouă variantă a ransomware-ului GodDamn lovește companii din Statele Unite, folosind o tehnică periculoasă: un driver kernel semnat de Microsoft. Atacatorii exploatează vulnerabilitatea BYOVD (Bring Your Own Vulnerable Driver) pentru a dezactiva soluțiile de securitate și a cripta fișierele.
Cum funcționează atacul
Ransomware-ul GodDamn instalează un driver kernel semnat digital de Microsoft, care este de fapt un driver vulnerabil, dar legitim. Odată activat, acesta obține privilegii la nivel de kernel și poate opri procesele antivirus, EDR și alte soluții de protecție. Fără securitate, atacatorii pot rula ransomware-ul nestingheriți.
Driverul folosit este unul cunoscut, dar semnarea îi conferă încredere și îi permite să treacă de filtrele de securitate. Aceasta nu este o vulnerabilitate nouă în Windows, ci o tehnică de abuz asupra driverelor semnate, cunoscută ca BYOVD.
Implicații pentru securitate
Acest incident evidențiază o problemă mai largă: și driverele semnate de Microsoft pot fi periculoase dacă sunt vulnerabile. Atacatorii caută constant drivere cu defecte cunoscute, apoi le semnează sau folosesc unele deja semnate. Deși Microsoft blochează driverele vulnerabile cunoscute, unele pot rămâne active.
GodDamn nu este singurul ransomware care folosește această tehnică; grupuri precum BlackByte și Royal au folosit BYOVD în trecut. Totuși, varianta actuală pare să fie mai agresivă, vizând în special companii mari.
Ce inseamnă pentru tine
- Actualizează-ți soluțiile de securitate: Asigură-te că antivirusul și EDR-ul tău detectează driverele vulnerabile cunoscute. Multe soluții moderne includ protecție împotriva atacurilor BYOVD.
- Monitorizează driverele instalate: Verifică periodic lista de drivere kernel din sistem. Orice driver neobișnuit semnat de Microsoft poate fi suspect.
- Implementează politici de securitate: Restricționează instalarea de drivere doar la cele aprobate și folosește soluții de tip application control.
Atacurile ransomware evoluează constant, iar tehnicile precum BYOVD fac ca securitatea tradițională să fie insuficientă. Vigilența și actualizările sunt esențiale.