Rien de tel qu’un pilote maison pour couper les alarmes avant de piller la maison. Symantec a rattaché un nouveau venu, baptisé GodDamn, à la lignée du ransomware Beast (attribué au groupe Hyadina). Sa recette n’a rien de révolutionnaire, mais elle est redoutablement efficace : détourner des outils légitimes et charger un pilote malveillant pour neutraliser les défenses avant de chiffrer.
Points clés
- GodDamn est rattaché par Symantec à la souche Beast, attribuée au groupe Hyadina
- Il détourne les outils légitimes AnyDesk et PsExec pour se propager sur le réseau
- Le pilote PoisonX est chargé pour neutraliser antivirus et solutions EDR avant chiffrement
Des outils légitimes détournés
Pour se déplacer sur un réseau, GodDamn s’appuie sur AnyDesk (logiciel d’accès à distance parfaitement honnête) et PsExec (utilitaire d’administration signé par Microsoft). Deux briques que les équipes IT utilisent au quotidien, ce qui les rend d’autant plus difficiles à distinguer d’une activité légitime. La vieille technique du loup déguisé en administrateur système fonctionne encore.
PoisonX, le pilote qui débranche les défenses
La pièce maîtresse s’appelle PoisonX. Il s’agit d’un pilote chargé au niveau du noyau pour désactiver les protections des endpoints (les postes et serveurs surveillés par les antivirus et solutions EDR). C’est la logique du « bring your own vulnerable driver » : introduire un composant qui opère avec les privilèges les plus élevés du système, puis s’en servir pour aveugler les outils de sécurité de l’intérieur.
Un air de famille avec Beast
Symantec relie GodDamn à Beast, souche déjà connue et rattachée au groupe Hyadina. Autrement dit, plutôt qu’une menace inédite, on a affaire à une nouvelle déclinaison d’un savoir-faire existant, recompilé et rebaptisé. Une pratique courante chez les opérateurs de ransomware, qui recyclent leur code comme d’autres changent d’étiquette pour brouiller les pistes.
