新種ランサムウェア「GodDamn」が台頭、Microsoft署名済みの悪意あるドライバー「PoisonX」でセキュリティ機能を無効化

要点

• シマンテックの調査により、セキュリティ製品を強制無効化する新種ランサムウェア「GodDamn」の活動が確認されました。

• 本ランサムウェアは、Microsoftのデジタル署名を得た悪意あるカーネルドライバー「PoisonX」を用いて防御を回避します。

• 攻撃者は、正規の遠隔操作ツールや資格情報窃取ツールを用いて組織内ネットワークへ深く侵入していました。

• 調査チームは、本ランサムウェアを過去の「Beast」や「Monster」から進化を続ける系統のリブランド版と評価しています。

• 米Broadcomのサイバーセキュリティ部門であるシマンテックの脅威ハンターチームは、新たなランサムウェアファミリー「GodDamn」の出現を明らかにしました。このランサムウェアは、エンドポイント（ネットワークに接続されたPCやサーバーなどの端末機器）の防御機能を停止させるため、悪意あるカーネルドライバー「PoisonX」を使用した「BYOVD（Bring Your Own Vulnerable Driver）攻撃」を行っていることが判明したといいます。報告によると、この脅威は2026年5月21日に初めて野生で観測されました。

過去のランサムウェアとの関連性と開発グループ

シマンテックは、今回発見された「GodDamn」（感染ファイルを暗号化して身代金を要求する不正プログラム）を、過去に確認されている「Beast」ランサムウェアのリブランド（既存製品を新ブランドとして再構築すること）と評価しています。さらに「Beast」自体も、2022年3月に登場したDelphi言語ベースの「Monster」ランサムウェアの強化版にあたるとされています。同社は、これら一連 of ランサムウェアの開発元を「Hyadina」というコードネームで追跡しています。

初期侵入から情報窃取までの攻撃プロセス

2026年6月初旬に確認された攻撃事例では、侵入経路こそ特定されていないものの、攻撃者は複数の段階を踏んで攻撃を展開していました。まず、遠隔操作を可能にする正規ソフト「AnyDesk」を介して侵入が行われました。攻撃者はランサムウェアの実行に先立ち、資格情報（システムログイン用のパスワードなどの認証情報）窃取ツールキットを使用しています。

このツールは、Webブラウザに保存されたパスワード、Windowsの「資格情報マネージャー」（認証情報を一元管理する機能）内のデータ、キャッシュされたドメイン資格情報、VNC（遠隔操作ソフト）のセッション、電子メール、Wi-Fiプロファイル、さらにはネットワークトラフィックから機密データを抽出する機能を備えていました。

Microsoftの署名を突破した「PoisonX」によるBYOVD攻撃

今回の攻撃で最も注目されているのが、管理者権限を獲得した攻撃者が有効なデジタル署名を持つ脆弱なドライバーを持ち込み、セキュリティ製品の検知をすり抜ける「BYOVD（Bring Your Own Vulnerable Driver）攻撃」です。

攻撃者はシマンテックの製品を装った防御回避ツール（「symantec.exe」）とともに、カーネルドライバーである「PoisonX」（ファイル名「g11.sys」）を持ち込みました。通常この攻撃には脆弱性のある正規ドライバーが使われますが、PoisonXは悪意あるプログラムでありながらMicrosoftのデジタル署名取得に成功している点が極めて異例です。

OSに自動ロードされたPoisonXは、監視プロセスの強制終了やカーネル内部レコードの改ざんにより、セキュリティシステムを完全に無力化します。なお、PoisonXは別のRaaS（ランサムウェア開発者が攻撃ツールを外部に提供するモデル）である「The Gentlemen」の防御回避ツール「GentleKiller」にも採用されています。

ネットワーク内への「横展開」と攻撃の自動化

セキュリティ機能の無効化後、攻撃者は管理用ツール「PsExec」を使用して、ネットワーク内で侵入を広げる「横展開（ラテラルムーブメント）」を実施しました。各コンピュータにAnyDeskを導入し、再起動後も持続する自動実行サービスとして登録したといいます。

一部の端末ではPowerShellスクリプトによってこのセットアップが自動化されており、6月2日までに少なくとも10台の端末で同様の処理が繰り返されたことが確認されています。

検出と脅迫の方法

翌6月3日、別のネットワークセグメントで「GodDamn」が検出され、暗号化されたファイルの拡張子には被害組織独自の名称が付与されていました。セキュリティ企業CYFIRMAのレポートによると、残された脅迫状（身代金を要求するメッセージ）には、攻撃者と電子メールまたは暗号化メッセージアプリ「qTox」で連絡を取るよう指示が記されていました。

シマンテックは、PoisonXの採用が防御回避能力の向上を示しているとし、開発グループである「Hyadina」がセキュリティ対策を突破するための手段を活発に開発し続けていることの表れであると結論づけています。