GodDamn: novo ransomware usa driver assinado pela Microsoft para derrubar defesas
Uma nova linhagem de ransomware, batizada de GodDamn, está chamando atenção dos pesquisadores de segurança por um motivo alarmante: o uso de um driver de kernel malicioso assinado pela própria Microsoft para desabilitar soluções de proteção antes da criptografia dos dados.
Por trás dessa família está o grupo Hyadina, já conhecido no submundo do crime digital por ter desenvolvido, anteriormente, os ransomwares Monster e Beast. O GodDamn é, na prática, a terceira geração dessa operação, com foco cada vez maior em sigilo, persistência e evasão de defesa.
Da linhagem Monster ao GodDamn: a evolução do Hyadina
O grupo Hyadina apareceu pela primeira vez em março de 2022, com o ransomware Monster, estruturado no modelo de ransomware-as-a-service (RaaS). Nesse formato, o grupo desenvolve o malware e o aluga para afiliados, que conduzem os ataques e dividem os lucros com os operadores.
Em junho de 2024, a operação foi reformulada e rebatizada como Beast, ampliando o alcance para além de sistemas Windows. O Beast passou a incluir suporte a Linux e ambientes VMware ESXi, mirando diretamente infraestruturas de servidores e datacenters.
O GodDamn é a evolução mais recente dessa linha. Além de incorporar as capacidades anteriores, ele traz um foco mais refinado em técnicas de evasão, principalmente por meio do uso de um driver de kernel malicioso, conhecido como PoisonX, que consegue desabilitar produtos de segurança em um nível muito mais profundo do sistema operacional.
Driver PoisonX: assinatura legítima, propósito malicioso
O PoisonX foi visto pela primeira vez no início de 2026 em ataques voltados a desativar o serviço CrowdStrike Falcon. Na ocasião, o driver foi usado para enviar um IOCTL especialmente criado para uma interface não documentada, permitindo encerrar o agente de segurança.
O ponto mais crítico é que o PoisonX está assinado pela Microsoft. Isso significa que o sistema operacional enxerga o driver como legítimo, o que facilita sua carga em modo kernel sem gerar suspeitas imediatas. Uma vez ativo, ele pode interferir diretamente em outros drivers ou serviços de segurança, desativando ou comprometendo sua atuação.
Em geral, técnicas desse tipo são classificadas como BYOVD (bring-your-own-vulnerable-driver), em que invasores exploram falhas em drivers legítimos para driblar defesas. No entanto, no caso do PoisonX, os analistas destacam uma nuance preocupante: não se trata apenas de um driver vulnerável, mas sim de um componente projetado com intenções maliciosas que, de alguma forma, obteve assinatura válida. Isso eleva o patamar da ameaça, pois reduz a barreira de desconfiança do sistema e dos próprios administradores.
Como o ataque GodDamn acontece na prática
A cadeia de ataque observada em um incidente analisado mostra um roteiro típico de invasão direcionada, com várias etapas bem orquestradas:
1. Acesso inicial
A infecção começou em 29 de maio de 2026, quando o AnyDesk foi depositado na pasta Music do usuário. O uso de ferramentas legítimas de acesso remoto é uma tática recorrente, pois ajuda a dar aparência normal ao tráfego de rede e às atividades de administração.
2. Implantação de ferramenta de evasão
Em seguida, os invasores executaram um utilitário chamado `symantec.exe`, apresentado como se fosse um produto legítimo de segurança. Na verdade, tratava-se de uma ferramenta de evasão em modo de usuário, cuja função era preparar o ambiente para o próximo estágio.
3. Download e carga do driver PoisonX
O `symantec.exe` procedeu ao download do driver PoisonX (`g11.sys`) para o sistema. Uma vez carregado no kernel, o driver passou a ser capaz de interferir diretamente no funcionamento de soluções de defesa, encerrando serviços, desabilitando proteções e criando um cenário favorável para as próximas ações.
4. Roubo massivo de credenciais
Paralelamente, foi implantado um kit completo de roubo de credenciais, com 14 ferramentas diferentes. Entre elas, o conhecido Mimikatz e diversos utilitários da NirSoft, usados para extrair senhas de navegadores, clientes de e-mail, gerenciadores de senhas e outras fontes sensíveis.
5. Movimento lateral e consolidação do controle
Em 1º de junho, teve início o movimento lateral na rede, utilizando PsExec para se propagar entre máquinas. Os atacantes desativaram o monitoramento em tempo real do Windows Defender e instalaram o AnyDesk em cada host, configurando acesso não interativo e serviços para garantir persistência mesmo após reinicializações.
6. Implantação do ransomware e criptografia
Finalmente, em 3 de junho, o binário de criptografia (`encrypter-windows-gui-x86.exe`) entrou em ação. Arquivos foram renomeados com a extensão `.God8Damn` ou, em alguns casos, com o próprio nome da organização vítima, provavelmente para reforçar a comunicação da extorsão e a personalização do ataque.
Por que o uso de um driver de kernel é tão perigoso?
Drivers em modo kernel operam com privilégios elevados, próximos ao “coração” do sistema operacional. Quando um atacante consegue introduzir um driver malicioso nesse nível, diversos mecanismos de proteção ficam em desvantagem, porque:
– muitos agentes de segurança dependem também de drivers para monitorar o sistema;
– o driver malicioso pode tentar encerrar, desabilitar ou interferir nesses agentes antes que eles tenham chance de reagir;
– inspeções baseadas apenas em processos de usuário (user mode) tendem a não enxergar ou não ter privilégios suficientes para bloquear o que ocorre no kernel.
No caso do PoisonX, a assinatura válida faz com que o Windows aceite o driver como confiável, superando uma das principais barreiras: a exigência de drivers assinados para serem carregados. Assim, o ataque combina dois fatores críticos: privilégio máximo e confiança forjada.
Estratégias de proteção: o que as empresas podem fazer?
Embora a técnica usada pelo GodDamn seja sofisticada, existem medidas concretas que reduzem bastante o risco e o impacto de ataques desse tipo:
1. Controle rigoroso de instalação de drivers e softwares
– Restringir a instalação de drivers apenas a equipes de TI autorizadas.
– Monitorar e registrar qualquer novo driver carregado no sistema.
– Usar listas de bloqueio para impedir a carga de drivers conhecidos como maliciosos.
2. Endurecimento do acesso remoto
– Restringir o uso de ferramentas como AnyDesk, TeamViewer e similares apenas a cenários muito específicos, com aprovação explícita.
– Implementar autenticação multifator para acessos remotos.
– Monitorar tentativas de instalação e execução de softwares de acesso remoto em estações de trabalho comuns.
3. Segmentação de rede e princípio do menor privilégio
– Evitar que uma única conta de usuário tenha acesso amplo a toda a rede.
– Implementar VLANs, firewalls internos e regras de segmentação para limitar o movimento lateral.
– Reduzir privilégios administrativos e usar contas separadas para tarefas críticas.
4. Monitoramento de ferramentas de administração legítimas
– PsExec, PowerShell, AnyDesk e outros utilitários são frequentemente usados de forma maliciosa.
– Estabelecer baselines de uso normal e gerar alertas quando houver desvios (por exemplo, uso fora de horários comerciais, disparo em diversos hosts simultaneamente).
5. Defesa em profundidade e não dependência de um único produto
– Combinar soluções de endpoint, proteção de e-mail, filtragem de DNS, firewalls de próxima geração e monitoramento contínuo de logs.
– Utilizar sistemas de detecção e resposta (EDR/XDR) que consigam correlacionar eventos e identificar comportamentos suspeitos, mesmo quando um componente é temporariamente neutralizado.
6. Plano de resposta a incidentes e backups testados
– Ter um plano de resposta com papéis e responsabilidades claros.
– Manter backups offline e periodicamente testados para restauração.
– Garantir que os backups não sejam acessíveis a partir das mesmas credenciais de produção, evitando que sejam criptografados pelos invasores.
O papel da gestão de credenciais no contexto do GodDamn
A presença de um kit de 14 ferramentas de roubo de credenciais não é um detalhe secundário. Ela mostra que, antes de criptografar dados, os atacantes estão fortemente interessados em:
– capturar logins de administradores de domínio e de sistemas críticos;
– obter acesso a e-mails corporativos, para ataques de engenharia social mais avançados;
– comprometer serviços em nuvem e aplicações de negócio.
Empresas que mantêm políticas fracas de senha, reutilizam credenciais entre serviços ou não adotam autenticação multifator ampliam consideravelmente a superfície de ataque. A combinação de Mimikatz e ferramentas NirSoft com o uso de um driver de kernel é especialmente perigosa, pois aumenta a chance de extração de credenciais até mesmo de ambientes relativamente bem protegidos.
Por que o GodDamn representa uma nova fase dos ransomwares?
O que diferencia o GodDamn de muitas campanhas anteriores não é apenas a criptografia em si, mas todo o ecossistema de técnicas que o cercam:
– uso de um driver de kernel malicioso assinado, algo ainda relativamente incomum;
– cadeias de ataque com múltiplos estágios, incluindo roubo de credenciais em larga escala;
– exploração intensiva de ferramentas legítimas (AnyDesk, PsExec) para misturar atividades maliciosas a operações comuns de TI;
– evolução contínua por parte do grupo Hyadina, que vem aperfeiçoando métodos desde 2022.
Esse conjunto indica uma profissionalização ainda maior do cibercrime, com foco em ataques menos barulhentos, mais precisos e mais difíceis de detectar nas fases iniciais.
Tendências futuras e reforço da segurança
A tendência é que outras quadrilhas se inspirem no modelo do GodDamn, tentando obter drivers assinados ou explorar vulnerabilidades em drivers amplamente utilizados. Ao mesmo tempo, é provável que fornecedores de sistemas operacionais e de segurança reforcem os controles de assinatura, revogação e monitoramento de drivers suspeitos.
Para as empresas, a lição é clara: proteção contra ransomware não pode ser tratada apenas como um problema de antivírus. Ela exige:
– governança de identidade (quem acessa o quê, de onde, como e por quê);
– visibilidade detalhada sobre o que acontece em cada camada da infraestrutura;
– capacitação contínua das equipes de TI e segurança;
– atualização constante das políticas de resposta a incidentes.
Enquanto grupos como o Hyadina continuam a investir em técnicas de ocultação e evasão, organizações que permanecem presas a um modelo de segurança reativo, baseado apenas na detecção de arquivos maliciosos, tendem a ficar em desvantagem.
O GodDamn, com o uso do PoisonX e sua cadeia elaborada de ataque, é um sinal de alerta sobre o nível de sofisticação que o ransomware já atingiu – e sobre a urgência de encarar a segurança cibernética como um componente estratégico do negócio, e não apenas um custo operacional.