El ransomware GodDamn, detectado por primera vez en mayo de 2026, ha evolucionado para usar un driver malicioso firmado por Microsoft que elimina las protecciones de ciberseguridad en los sistemas afectados. Este ataque, detallado por investigadores de Symantec, representa la última versión de la familia Hyadina, que incluye también a Beast y Monster ransomware, activos desde 2022.
En resumen
- GodDamn utiliza PoisonX, un driver kernel malicioso con firma legítima de Microsoft, para desactivar procesos de seguridad.
- Los atacantes emplean herramientas como AnyDesk, NirSoft y Mimikatz para obtener control y robar credenciales.
- La familia Hyadina sigue evolucionando sus técnicas para evadir detección y aumentar su efectividad.
Qué pasó
Los atacantes accedieron a sistemas Windows, aunque no se sabe cómo lograron la entrada inicial, posiblemente mediante compromiso de cuentas. Usaron AnyDesk oculto en una carpeta llamada “Music” para conexiones remotas. Luego, ejecutaron un archivo disfrazado de producto Symantec que instaló PoisonX, un driver kernel firmado por Microsoft, en el almacén de drivers del sistema. Este driver malicioso terminó procesos de seguridad, debilitando las defensas del equipo.
Con las protecciones desactivadas, los atacantes desplegaron herramientas como NirSoft y Mimikatz para robar credenciales, cookies y tráfico de red, buscando controlar cuentas administrativas y expandir su acceso. Finalmente, activaron el ransomware GodDamn para cifrar archivos y exigir rescate.
Por qué importa
El uso de un driver firmado por Microsoft para evadir defensas representa una escalada en las capacidades de evasión de ransomware. Esto dificulta la detección y respuesta de los sistemas de seguridad, aumentando el riesgo y el impacto de los ataques. Además, demuestra que los grupos detrás de Hyadina continúan desarrollando y sofisticando sus métodos para mantener la efectividad de sus campañas maliciosas.