Мы привыкли, что вредоносное ПО прячется от антивируса. А тут другая философия: зачем прятаться, если можно просто вырубить свет. 9 июля компания Symantec (Broadcom) описала кампанию, которая, по их словам, раньше не встречалась в таком виде.
Что произошло. Группировка, которую Symantec отслеживает как Hyadina, использовала программу-вымогатель под названием GodDamn и драйвер PoisonX. И вот ключевая деталь: этот драйвер имел действительную подпись Microsoft Hardware Compatibility Publisher. То есть Windows без вопросов пустила его в ядро. Оказавшись в нулевом кольце, драйвер отключил защиту как минимум на 10 хостах в одной организации - вплоть до единственного файла шифрования. По данным Symantec, за GodDamn тянется шлейф: Beast в 2024 году, а до него - программа-вымогатель Monster с 2022 года. Один и тот же разработчик четыре года переделывает одну и ту же операцию.
Это подвид BYOVD (Bring Your Own Vulnerable Driver, «принеси свой собственный уязвимый драйвер»). По данным анализа ESET за март 2026 года, уже насчитывается 54 инструмента-«убийцы» EDR, использующих 35 подписанных драйверов. Пока блок-листы догоняют новый драйвер, кампания уже отработала.
Аналогия. Грабитель не пробирается мимо камер. Он приходит в форме электрика, показывает пропуск, и охрана сама ведет его к щитовой. Свет гаснет - и дальше делай что хочешь.
Выводы. Обычным пользователям: здесь мало рычагов воздействия, но урок универсален - фраза «у меня антивирус, все в порядке» больше не работает как единственная защита.
Бизнесу и директорам по информационной безопасности: это структурный риск, а не тактический. Один вопрос к команде решает половину проблемы - включен ли HVCI (Hypervisor-Protected Code Integrity). Он перемещает контроль целостности кода в уровень Ring 0 и блокирует ядерный код, который явно не разрешен, даже если у него есть действительная подпись. Плюс - мониторинг загрузки драйверов и правило: EDR не должен быть единственным уровнем защиты.
Мой комментарий. По-моему, это самая недооцененная тема недели. «Отключение защиты» стало отдельным этапом атаки, и оно масштабируется. Эта тенденция усилится: программы-вымогатели как услуга уже включают такие драйверы в свой комплект. В ближайший год HVCI из категории «желательно» перейдет в категорию «объясните, почему у вас выключено».
Автор: Беляев Дмитрий
〰️〰️〰️
📝Связаться с Дмитрием
〰️〰️〰️
👆👆👆👆👆
✔️Подпишись на канал🔥
🕒 [Ранний доступ к подкастам] 🔥
▶️ [Чат]
🛒 [Все проекты] 🔥
🟡 [Менторство] 🔥
⚡️ [Буст BS]
🤔 [Стикеры]
🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥
#программы #BYOVD #EDR #HVCI #кибербезопасность