I ricercatori di sicurezza informatica hanno individuato una nuova famiglia di ransomware chiamata GodDamn che punta a disattivare le difese endpoint usando un driver kernel denominato PoisonX. Questa tecnica rappresenta un passo avanti nelle strategie di defense evasion perche permette agli attaccanti di neutralizzare antivirus ed EDR prima della fase di cifratura, aumentando le probabilita di successo dell attacco ransomware e riducendo la capacita di rilevamento e risposta.
GodDamn risulta collegato a una linea evolutiva gia vista in passato, con somiglianze con varianti note che si sono susseguite negli anni. In un incidente osservato a inizio giugno 2026, gli attori della minaccia hanno sfruttato AnyDesk per accesso remoto e hanno utilizzato un toolkit di furto credenziali basato su NirSoft. Questo tipo di credential harvesting mira a raccogliere dati sensibili da browser, Windows Credential Manager, credenziali di dominio in cache, sessioni VNC, client email, profili Wi Fi e perfino traffico di rete in tempo reale. Il risultato e un rapido aumento dei privilegi e della capacita di muoversi nella rete.
Un elemento centrale della campagna e l uso combinato di strumenti in user mode camuffati da componenti legittimi e del driver PoisonX, indicato anche come g11 sys, per disabilitare le soluzioni di endpoint security. Il modello operativo richiama gli attacchi BYOVD bring your own vulnerable driver, in cui un driver firmato e accettato dal sistema viene caricato da Windows e poi sfruttato per terminare processi di sicurezza o renderli inefficaci. In alcuni casi gli aggressori non spengono del tutto l agente EDR ma ne rimuovono i permessi o manipolano meccanismi del kernel in modo che il prodotto resti attivo ma cieco.
La catena di attacco include anche PsExec per il movimento laterale e la distribuzione di AnyDesk su piu host, registrandolo come servizio Windows in avvio automatico per garantire persistenza dopo i riavvii. In diversi sistemi l installazione e stata automatizzata con script PowerShell gia presenti sul disco, segnale di procedure riutilizzabili e ottimizzate. Sono stati osservati riavvii ripetuti e una diffusione su almeno dieci macchine, prima della comparsa del ransomware in un segmento di rete separato con estensioni dei file rinominate in modo personalizzato. La nota di riscatto spinge le vittime a contattare gli operatori via email o tramite qTox, confermando un approccio orientato alla trattativa e all estorsione.