Ransomware “GodDamn” sfrutta driver firmato Microsoft per disattivare…

È stato scoperto un attacco ransomware sofisticato: un gruppo criminale noto come Hyadina ha distribuito il malware “GodDamn” usando un driver kernel firmato da Microsoft, che ha disabilitato i sistemi di protezione prima di criptare file sensibili in aziende americane. Questa tecnica mette in luce una nuova minaccia per le PMI italiane con presenza online.

Cosa è successo

Gli analisti di Symantec hanno osservato che il gruppo ransomware-as-a-service (RaaS) Hyadina ha iniziato a usare una nuova variante chiamata “GodDamn”, già attiva da maggio 2026. In un attacco, il team ha prima introdotto AnyDesk in una cartella Music, poi ha eseguito un programma mascherato da prodotto Symantec (symantec.exe), che ha installato un driver kernel chiamato PoisonX, firmato Microsoft.
Il driver ha disattivato software di sicurezza, impedendo al sistema di rilevare l’intrusione, mentre venivano estratte credenziali con strumenti legittimi (come quelli di NirSoft) e con Mimikatz. Successivamente, usando PsExec, il malware si è diffuso lateralmente e ha infine lanciato la cifratura dei file.

Perché è importante

Per le PMI italiane dotate di siti web, e-commerce o CRM, questa minaccia è rilevante – se il malware riesce a disattivare le soluzioni di sicurezza, l’intrusione resta invisibile fino allo stadio di cifratura e richiesta del riscatto. L’uso di un driver firmato legittimamente compromette anche i programmi antimalware più avanzati, rendendo urgente un livello superiore di protezione.

Cosa fare adesso

• Attiva la Vulnerable Driver Blocklist di Windows per bloccare driver noti pericolosi.
• Abilita la “Memory Integrity” (HVCI) per impedire il caricamento di driver non autorizzati.
• Utilizza Windows Defender Application Control per consentire solo driver approvati.
• Monitora e genera alert su ogni nuovo caricamento di driver, specialmente fuori dagli usuali cicli di manutenzione.
• Limitare o controllare l’uso di strumenti remoti come AnyDesk, soprattutto se installati in cartelle non standard.
• Controlla che la protezione anti-manomissione dell’EDR sia attiva: il blocco di processi di difesa è spesso il segnale iniziale di un attacco.

Come ti aiuta Evo Sistemi

Evo Sistemi può supportarti concretamente in questa situazione:

• Servizio di sicurezza informatica, per implementare policy avanzate di difesa e monitoraggio continuo.
• Servizio di realizzazione siti web robusti, progettati fin dall’inizio con criteri di protezione e resilienza agli attacchi.
• Supporto nella compliance e GDPR, utile anche per garantire un’adeguata risposta a eventuali violazioni dei dati.

Contattaci per valutare lo stato attuale della tua sicurezza e prepararti a resistere anche alle minacce più avanzate: Scrivici.

Domande frequenti

Cos’è un driver kernel firmato da Microsoft?

È un componente del sistema operativo a basso livello che, grazie alla firma Microsoft, viene ritenuto affidabile e può essere caricato automaticamente da Windows.

Perché un driver firmato può essere pericoloso?

Perché se è creato con scopi malevoli, può disattivare le difese di sistema senza essere bloccato, come è successo con PoisonX.

Come posso sapere se un driver è sospetto?

Attiva il monitoraggio sui caricamenti di driver, verifica quelli installati al di fuori dei cicli di aggiornamento e confronta i loro hash con i database di indicatori di compromissione.

Fonte: Dark Reading.