Una nueva cepa de ransomware denominada GodDamn ha sido identificada por investigadores de ciberseguridad, marcando una evolución preocupante en las tácticas de evasión de defensas. Este ransomware se distingue por el uso de un controlador de kernel malicioso llamado PoisonX para deshabilitar el software de seguridad en los endpoints, una técnica que dificulta su detección. GodDamn es considerado una variante evolucionada de Beast y Monster, familias de ransomware activas desde 2022 y vinculadas al desarrollador Hyadina.
El ataque implica una estrategia de ‘Bring Your Own Vulnerable Driver’ (BYOVD), donde los actores de amenazas despliegan el controlador PoisonX (g11.sys), el cual ha logrado obtener una firma digital válida de Microsoft. Esta firma engaña al sistema operativo, permitiendo que el controlador se cargue y ejecute acciones maliciosas, como la desactivación de productos EDR/XDR y antivirus. Los atacantes también utilizan herramientas de recolección de credenciales basadas en NirSoft y AnyDesk para acceso remoto y movimiento lateral, configurando este último como servicio de inicio automático para persistencia.
Una vez que el controlador PoisonX está activo, puede terminar procesos de seguridad, modificar permisos o incluso cegar los productos de seguridad al interferir con la entrega de notificaciones del kernel sobre la actividad del sistema. Esto permite que el ransomware GodDamn cifre los archivos de la víctima sin ser detectado ni bloqueado. La operación de GodDamn ha sido observada utilizando AnyDesk para establecer acceso persistente en múltiples hosts dentro de una organización, preparando el terreno para el despliegue final del cifrador.
Para mitigar la amenaza de ransomware como GodDamn y su técnica BYOVD, es crucial implementar una defensa en profundidad. Esto incluye la evaluación y bloqueo de la ejecución de controladores no autorizados o vulnerables, el fortalecimiento de la seguridad de los endpoints con soluciones EDR/XDR avanzadas que puedan detectar comportamientos anómalos a nivel de kernel, y la implementación de controles de acceso estricto y MFA para prevenir el movimiento lateral y el abuso de credenciales. La monitorización continua y la respuesta rápida son esenciales para identificar y contener tales amenazas antes de que logren su objetivo.
Qué significa para tu empresa: La sofisticación de ataques como GodDamn subraya la necesidad de una estrategia de seguridad integral que vaya más allá de las soluciones antivirus tradicionales. La capacidad de un atacante para deshabilitar las defensas del endpoint con un controlador firmado resalta la importancia de la seguridad gestionada por capas. Esto incluye no solo la protección avanzada de endpoints (EDR/XDR) y un firewall perimetral NGFW, sino también la detección proactiva a través de un SOC con monitoreo 24/7 que pueda identificar anomalías y responder rápidamente antes de que los atacantes logren deshabilitar las defensas primarias. Un enfoque robusto garantiza que, incluso si una capa es comprometida, otras defensas permanezcan activas para proteger su infraestructura.
Fuente original: The Hacker News — ver artículo →