SymantecのThreat Hunter Teamは、新たに確認されたランサムウェア「GodDamn」の攻撃事例を報告しました。攻撃者は遠隔操作ソフトや認証情報収集ツールを使って組織内へ展開し、PoisonXと呼ばれるカーネルドライバーでセキュリティ製品を無効化した後、ファイルを暗号化していたとされています。初期侵入の手段は明らかになっていません。
The Hacker News：GodDamn Ransomware Uses PoisonX Driver to Disable Endpoint Defenses
この記事のポイント
影響のあるシステム
- Windowsを使用する企業・組織の端末およびサーバー
- 管理者権限を奪われ、カーネルドライバーをインストールできる状態になったWindows端末
- AnyDeskが通常とは異なる保存場所から実行されている端末
- PsExecや管理共有を通じて、ほかの端末から操作できる社内ネットワーク環境
- ブラウザー、Windows Credential Manager、VNC、メールソフト、Wi-Fiプロファイルなどに認証情報を保存している端末
- Monster、Beast、GodDamnとして追跡されているランサムウェア系列の攻撃を受ける可能性がある環境
推奨される対策
- Windows、EDR、ウイルス対策製品の更新プログラムと検出定義を最新の状態にしてください。
- 一般ユーザーに不要なローカル管理者権限を付与せず、管理者アカウントの使用状況を監視してください。
- 正規の用途で使用していないAnyDeskを制限し、通常とは異なるディレクトリーからの実行やサービス登録を監視してください。
- PsExec、PowerShell、管理共有を利用した複数端末への連続した操作を検知できるよう、ログを集中管理してください。
symantec.exe、g11.sys、encrypter-windows-gui-x86.exeなど、今回報告された不審なファイル名やハッシュ値を調査に活用してください。- Windows Defenderのリアルタイム監視を無効化するPowerShellコマンドや、セキュリティ製品のプロセスを終了する挙動を監視してください。
- 重要データのバックアップをネットワークから分離して保管し、定期的に復元テストを実施してください。
- 侵害が疑われる場合は、ブラウザーやWindowsに保存されたものを含め、影響を受けた認証情報を失効・再発行してください。
上記の対策は、元記事の報道および一般的な技術情報に基づき日本の読者向けに整理したものです。
この記事に出てくる専門用語
- GodDamn：2026年5月に公開環境で初めて確認されたとされるランサムウェアです。BeastおよびMonsterとコードや攻撃手法に関連性があると分析されています。
- PoisonX：Windowsのカーネル領域で動作し、セキュリティ製品のプロセス停止などに利用されたとされる不正なドライバーです。
- カーネルドライバー：OSの中核部分で動作し、ハードウェアやシステム機能を制御するプログラムです。通常のアプリケーションよりも強い権限を持ちます。
- BYOVD：Bring Your Own Vulnerable Driverの略称です。攻撃者が署名済みの脆弱なドライバーを持ち込み、カーネル権限でセキュリティ機能を妨害する手法です。
- EDR：端末上の不審な挙動を継続的に監視し、攻撃の検知や調査、対応を支援するセキュリティ製品です。
- AnyDesk：端末を遠隔操作するための正規ソフトウェアです。攻撃者が侵害後のアクセス手段として悪用する場合があります。
- PsExec：Windows端末上で遠隔からコマンドやプログラムを実行できる管理ツールです。正規の管理業務だけでなく、攻撃者の横展開にも悪用されます。
- 横展開：侵害した1台の端末を起点として、同じネットワーク内の別の端末やサーバーへ侵入範囲を広げる行為です。
正規署名を持つPoisonXでセキュリティ機能を妨害
GodDamnの攻撃で特に注意すべき点は、PoisonXと呼ばれるカーネルドライバーを利用して、端末の防御機能を無力化していたことです。Symantecが調査した事例では、攻撃者はsymantec.exeというファイル名のツールを配置し、正規のSymantec製品であるかのように偽装していました。このツールは、システムドライバーディレクトリーにg11.sysという名称でPoisonXを展開していたと報告されています。
PoisonXには「Microsoft Windows Hardware Compatibility Publisher」の署名が付与されていたとされ、Windowsからは信頼できるドライバーのように見える状態でした。一般的なBYOVD攻撃では、攻撃者が正規に署名された脆弱なドライバーを悪用します。一方、PoisonXについてSymantecは、開発者が悪意あるドライバーそのものをMicrosoftに署名させることに成功した可能性があるという、通常とはやや異なる性質を指摘しています。
カーネル領域で動作するドライバーは、通常のアプリケーションよりも強い権限を持ちます。PoisonXはセキュリティ製品のプロセスを終了させるほか、ユーザーモードで利用されるAPIフックを除去し、端末上の監視能力を低下させることが可能だったとされています。EDRの画面上ではエージェントが動作しているように見えても、必要な通知を受け取れず、攻撃活動を十分に検知できない状態になる可能性があります。
認証情報を収集し、AnyDeskとPsExecで社内へ横展開
Symantecが調査した攻撃では、最初に確認された不審な活動は2026年5月29日のAnyDesk実行でした。AnyDeskは通常のインストール先ではなく、ユーザープロファイル内のMusicフォルダーから起動されていました。この配置から、攻撃者は何らかの方法ですでに端末へのアクセスを確保し、手動で遠隔操作ソフトを持ち込んだ可能性があると分析されています。ただし、最初に組織へ侵入した具体的な手段は判明していません。
攻撃者はその後、Mimikatzや複数のNirSoft系ツールを含む認証情報収集用のツールセットを展開しました。これらのツールは、主要なWebブラウザー、Windows Credential Manager、キャッシュされたドメイン認証情報、VNCセッション、メールクライアント、Wi-Fiプロファイル、ネットワーク通信などから、パスワードや接続情報を収集する能力を備えていたと報告されています。ネットワーク内の到達可能な端末を探索するため、NetScanも配置されていました。
6月1日にはPsExecを利用した横展開が始まり、窃取した認証情報と管理共有を使って別の端末へ接続していました。到達した端末にはAnyDeskが配置され、利用者による接続承認を求めない設定や遠隔操作用パスワードが登録されていました。さらに、AnyDeskを自動起動するWindowsサービスとして登録し、端末の再起動後もアクセスできる状態を維持していました。この一連の展開は6月2日までに少なくとも10台の端末で繰り返されたとされています。
国内組織が確認すべき不審な挙動と復旧対策
今回の事例では、GodDamnランサムウェアが確認される前に、遠隔操作環境の構築、セキュリティ機能の無効化、認証情報の収集、ネットワーク内での横展開が行われていました。そのため、暗号化ファイルや身代金要求文が見つかってから対応を始めるだけでは、攻撃の早期段階を見逃す可能性があります。AnyDeskやPsExec自体は正規のソフトウェアですが、保存場所、実行ユーザー、実行時間、接続先、サービス登録の状況を組み合わせて確認する必要があります。
具体的には、ユーザーのMusicフォルダーやシステムドライブ直下など、通常とは異なる場所から実行されるAnyDesk、PowerShellを用いた無人接続設定、複数端末への連続したサービス作成や再起動を監視することが重要です。また、Set-MpPreference -DisableRealtimeMonitoring $trueによるWindows Defenderのリアルタイム監視の停止や、g11.sysのドライバー登録、セキュリティ製品に見せかけたsymantec.exeの実行も調査対象となります。
GodDamnは、環境によって暗号化ファイルへ.God8Damnを付けるほか、被害組織名を拡張子として使用する場合があるとされています。そのため、拡張子名だけに依存した検知では見逃す可能性があります。侵害が確認された場合は、端末をネットワークから隔離し、不正な遠隔操作設定やドライバーを調査するとともに、窃取された可能性がある認証情報を交換する必要があります。バックアップについても、攻撃者からアクセスできない場所に複製を保管し、業務システムを実際に復元できることを事前に確認しておくことが重要です。
参考文献・記事一覧
- The Hacker News
- Symantec Threat Hunter Team：GodDamn Ransomware: Latest Beast Rebrand Uses Malicious Driver to Disable Defenses
- Symantec Threat Hunter Team：The BYOVD Epidemic
- CYFIRMA：Weekly Intelligence Report – 19 Jun 2026
- CORE-JMP：PoisonX: Terminating Protected Windows Processes via BYOVD
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
