GodDamnランサムウェア、Microsoft署名付きPoisonXドライバーを悪用

PoisonXドライバーでセキュリティ機能を回避、BYOVD攻撃を展開

新たなランサムウェアGodDamnが確認され、Microsoft署名付きの悪意あるカーネルドライバーPoisonXを悪用してセキュリティ機能を回避する手法が明らかになった。Symantec Threat Hunter Teamは2026年5月21日に本ランサムウェアを初めて公表している。

GodDamnは、2022年に確認されたMonsterランサムウェアから派生したBeastランサムウェアの後継とみられており、**BYOVD（Bring Your Own Vulnerable Driver）**攻撃を利用してエンドポイント防御を回避する。PoisonXはMicrosoftの署名付きドライバーであり、管理者権限を取得した攻撃者によって悪用されることで、信頼されたドライバーとしてセキュリティ対策を回避する経路となる。

Broadcomのセキュリティ部門は、このランサムウェアがHyadinaと呼ばれる開発者によって作成されたと分析している。PoisonXはRaaS（Ransomware as a Service）の運営者が防御機能を無効化するために利用するドライバーの一つとされる。

また、GodDamnはAnyDeskやNirSoftベースの認証情報窃取ツールを使用して侵入し、AnyDeskを自動起動サービスとして登録することで永続化を図る。その後、ネットワーク内の複数の端末へ感染を拡大する。さらに、セキュリティソフトウェアのプロセス停止、セキュリティエージェントの権限変更、カーネル内部データの改ざんなど、複数の防御回避手法を組み合わせて検知を妨害することが確認されている。

セキュリティ研究者は、GodDamnが継続的に機能を進化させており、PoisonXのような署名付きドライバーを悪用した攻撃が今後も拡大する可能性があると警告している。組織はBYOVD攻撃への対策を強化し、不審なドライバーの読み込みや権限昇格の兆候を継続的に監視することが重要だ。