Le ransomware GodDamn chiffre les fichiers des victimes après avoir désactivé leurs outils de sécurité à l'aide d'un driver noyau Windows signé par Microsoft. C'est cette séquence qui rend GodDamn particulièrement difficile à intercepter : au moment où le chiffrement commence, l'antivirus et l'EDR sont déjà hors service, tués par un code s'exécutant au niveau le plus privilégié du système d'exploitation. La technique employée, connue sous le nom de BYOVD (Bring Your Own Vulnerable Driver), n'est pas nouvelle, mais GodDamn l'implémente avec un driver, PoisonX (g11.sys), dont la signature Microsoft est encore valide. L'analyse a été publiée par l'équipe Symantec Threat Hunter Team.
GodDamn est une rebranding du ransomware Beast, lui-même une variante de Monster apparu en mars 2022. Le groupe de développeurs responsable opère sous le nom "Hyadina". La première détection de GodDamn remonte au 21 mai 2026, avec une analyse plus complète publiée le 3 juin après que Symantec a eu le temps d'analyser la chaîne d'attaque complète. Une autre connexion notable : le driver PoisonX et la technique BYOVD qu'il implémente ont également été adoptés par "The Gentlemen", un autre groupe RaaS actif, qui l'utilise via un outil nommé GentleKiller. Un driver efficace contre les EDR devient rapidement un composant partagé dans l'écosystème du ransomware.
Un driver noyau Windows (fichier .sys) s'exécute dans l'espace noyau, au niveau de privilège le plus élevé du système. À ce niveau, le code peut interagir directement avec les structures internes de Windows, lire et modifier la mémoire des autres processus, et terminer des processus avec une autorité que les applications en espace utilisateur ne peuvent pas exercer. Les solutions antivirus et EDR utilisent elles-mêmes des drivers noyau pour surveiller le système : c'est la raison pour laquelle elles peuvent détecter et bloquer des malwares qui tentent d'opérer à des niveaux de privilège inférieurs.
L'attaque BYOVD contourne cette protection en chargeant dans le noyau un driver légitime mais vulnérable. Windows exige que les drivers soient signés numériquement par Microsoft avant d'être autorisés à s'exécuter. PoisonX (g11.sys) satisfait cette exigence : sa signature Microsoft est valide. Une fois chargé, l'attaquant exploite une vulnérabilité présente dans ce driver pour obtenir une capacité d'exécution arbitraire en espace noyau. De là, PoisonX peut terminer les processus des solutions de sécurité, que celles-ci soient Symantec, CrowdStrike, Microsoft Defender, ou n'importe quel autre EDR dont le processus tourne en espace utilisateur.
La résistance des EDR modernes à cette technique est variable. Certaines solutions ont mis en place des mécanismes de protection des processus (PPL, Protected Process Light) qui empêchent leur terminaison même depuis l'espace noyau. D'autres s'appuient sur des callbacks noyau pour détecter le chargement de drivers vulnérables connus. La capacité de PoisonX à désactiver "les processus AV/EDR" selon l'analyse Symantec suggère que les protections PPL ne sont soit pas activées dans les environnements ciblés, soit contournées par une méthode supplémentaire non détaillée dans le rapport public.
Symantec décrit une chaîne d'attaque en plusieurs étapes qui commence par la collecte de credentials et se termine par le chiffrement des fichiers avec une demande de rançon par email ou via qTox, un protocole de messagerie chiffré décentralisé.
La première phase mobilise des outils de vol de credentials développés par NirSoft, une société israélienne qui publie des utilitaires légitimes de récupération de mots de passe. Ces outils récupèrent les identifiants stockés dans les navigateurs web, le Windows Credential Manager, les clients VNC, les clients email, et les réseaux Wi-Fi. Leur légitimité en tant qu'outils de récupération est précisément ce qui les rend attractifs pour les attaquants : ils ne sont pas systématiquement bloqués par les solutions de sécurité, et leur présence dans un environnement n'est pas immédiatement suspecte.
La phase de contrôle à distance utilise AnyDesk, un logiciel de bureau à distance commercial. L'attaquant établit une connexion AnyDesk persistante vers la machine compromise, lui donnant une visibilité complète sur l'environnement avant de passer aux phases destructrices. AnyDesk est un autre outil légitime dont l'usage détourné est courant dans les attaques ransomware : il est souvent déjà autorisé dans les environnements d'entreprise pour le support informatique, ce qui complique sa détection.
Une fois le contrôle établi, l'attaquant déploie l'exécutable de chiffrement sous le nom symantec.exe, une usurpation d'identité directe d'un outil de sécurité reconnu. Avant l'exécution du chiffrement, PoisonX est chargé pour désactiver les protections. PsExec, l'utilitaire d'exécution à distance de Sysinternals, est utilisé pour le mouvement latéral vers d'autres machines du réseau. AnyDesk est configuré comme service de démarrage automatique pour maintenir l'accès même après redémarrage. Enfin, les fichiers sont chiffrés avec l'extension .God8Damn ou une extension basée sur le nom de la victime.
La mention de "The Gentlemen" RaaS dans l'analyse Symantec, et de leur outil GentleKiller qui utilise le même mécanisme PoisonX, illustre une tendance documentée dans l'écosystème ransomware : les composants techniques efficaces deviennent des ressources partagées entre groupes distincts. Un driver BYOVD qui désactive les EDR représente une valeur considérable pour n'importe quel opérateur ransomware. Une fois qu'un tel driver est développé, testé, et vérifié efficace contre les principales solutions de sécurité, il est naturel qu'il soit réutilisé, vendu, ou partagé au sein des réseaux qui constituent l'écosystème RaaS.
Cette mutualization des composants d'attaque a une conséquence défensive importante : l'identification d'une technique dans le contexte d'un groupe ransomware spécifique ne signifie pas que cette technique ne sera pas rencontrée dans des attaques attribuées à des groupes distincts. PoisonX peut apparaître dans une attaque GodDamn, dans une attaque The Gentlemen, ou dans une attaque d'un groupe qui a acquis le même composant par un autre canal. Les indicateurs techniques (hash du driver, chemin de déploiement, comportement réseau) restent valables quelle que soit l'attribution.
La mitigation principale contre les attaques BYOVD est la politique de blocage des drivers vulnérables maintenue par Microsoft et disponible via Windows Defender Application Control (WDAC). Microsoft publie une liste de blocage des drivers connus pour être utilisés dans des attaques BYOVD, et les règles WDAC peuvent empêcher leur chargement. Le problème est que la liste de blocage doit être maintenue à jour : un driver nouvellement identifié comme utilisé dans des attaques ne sera pas présent dans une liste de blocage statique antérieure.
La détection du chargement de drivers vulnérables via des mécanismes comme les callbacks noyau de type PsSetLoadImageNotifyRoutine est l'approche adoptée par certaines solutions EDR pour identifier les tentatives BYOVD en temps réel. Les solutions qui maintiennent une liste de drivers vulnérables connus et alertent ou bloquent leur chargement sont mieux positionnées pour détecter PoisonX et des outils similaires, à condition que la liste soit mise à jour régulièrement.
L'audit des drivers noyau chargés sur les endpoints est une mesure de détection complémentaire. Sur un parc d'entreprise, les drivers noyau présents sur les machines devraient être connus et approuvés. Le chargement d'un driver non répertorié dans l'inventaire standard, même s'il est signé, devrait déclencher une alerte. Les outils EDR qui maintiennent une baseline des drivers chargés sur chaque endpoint et alertent sur les nouveaux drivers peuvent détecter le chargement de PoisonX avant que la phase de terminaison des processus de sécurité ne soit atteinte.
Du côté du contrôle d'accès, la politique d'utilisation de PsExec pour le mouvement latéral est un signal détectable. PsExec est un outil légitimement utilisé par les équipes IT pour l'administration à distance, mais son usage par un processus non administratif ou en dehors des horaires d'administration habituels est un indicateur comportemental qui devrait déclencher une investigation. La surveillance des connexions AnyDesk nouvellement établies, en particulier celles qui aboutissent à l'installation d'AnyDesk en tant que service de démarrage automatique, est un autre signal de détection applicable à cette chaîne d'attaque.
L'utilisation d'outils NirSoft dans la phase de collecte de credentials de GodDamn mérite une attention particulière parce qu'elle illustre une tactique de plus en plus courante dans les attaques ransomware sophistiquées : l'utilisation d'outils d'administration légitimes plutôt que de malwares dédiés au vol de credentials. NirSoft publie des utilitaires de récupération de mots de passe comme WebBrowserPassView (navigateurs), CredentialsFileView (Windows Credential Manager), VNCPassView (clients VNC), MailPassView (clients email), et WirelessKeyView (réseaux Wi-Fi). Ces outils existent pour des cas d'usage légitimes de récupération IT, ce qui les rend moins susceptibles d'être détectés ou bloqués par les solutions de sécurité.
La détection de l'usage malveillant d'outils NirSoft dans un environnement d'entreprise repose sur le contexte plutôt que sur la nature de l'outil. L'exécution de WebBrowserPassView sur un poste de travail d'utilisateur standard, en dehors d'une procédure IT documentée, est un comportement anormal qui devrait déclencher une alerte. Les solutions EDR qui maintiennent une baseline comportementale par utilisateur et par machine peuvent détecter l'exécution de ces outils en dehors des patterns habituels, même si les outils eux-mêmes ne sont pas catégorisés comme malveillants.
Un point opérationnel spécifique : l'attaque GodDamn utilise AnyDesk comme canal de contrôle à distance. AnyDesk est un outil légitime présent dans de nombreux environnements d'entreprise pour le support informatique. La détection d'une session AnyDesk établie en dehors des horaires de support habituels, ou à partir d'une adresse source inhabituelle, ou vers un compte utilisateur qui n'a pas demandé de support, est un signal de détection applicable à cette chaîne d'attaque et à d'autres qui utilisent AnyDesk comme vecteur de contrôle à distance malveillant.
Au-delà des mesures de détection, certaines configurations Windows offrent une résistance structurelle aux attaques BYOVD. La politique "Hypervisor-Protected Code Integrity" (HVCI), disponible sur les systèmes Windows 10 et 11 avec des processeurs compatibles, utilise la virtualisation pour isoler le noyau de Windows du reste du système. Dans un environnement HVCI activé, seuls les drivers dont le code est signé et dont l'intégrité est vérifiée par l'hyperviseur peuvent être chargés. Cette protection rend significativement plus difficile le chargement de drivers vulnérables, même signés, parce que l'hyperviseur peut refuser des drivers dont le comportement est incompatible avec les politiques d'intégrité du code.
HVCI est activé par défaut sur les appareils "secured-core PC" qui répondent à certains critères matériels. Sur les systèmes existants, l'activation de HVCI peut introduire des problèmes de compatibilité avec certains drivers tiers, en particulier des drivers de matériel plus ancien qui ne sont pas conformes aux exigences d'intégrité de code modernes. L'évaluation de la compatibilité HVCI dans un environnement spécifique avant déploiement généralisé est une étape recommandée.
La liste de blocage des drivers vulnérables (Vulnerable Driver Blocklist) de Microsoft est un mécanisme complémentaire qui empêche le chargement de drivers spécifiquement identifiés comme utilisés dans des attaques BYOVD. Cette liste est mise à jour par Microsoft et peut être déployée via WDAC ou via les mises à jour Windows Defender. La consultation régulière de la liste publiée par Microsoft et la vérification que les règles de blocage correspondantes sont actives dans l'environnement est une mesure de maintenance de sécurité qui devrait être intégrée aux processus de gestion des configurations de sécurité des endpoints.
La connexion entre GodDamn et The Gentlemen RaaS via le composant PoisonX illustre une réalité de l'écosystème ransomware contemporain : les groupes qui développent des capacités techniques avancées les monétisent souvent en les partageant ou en les vendant à d'autres opérateurs. Ce modèle réduit le coût d'entrée pour les nouveaux opérateurs ransomware et accélère la prolifération des techniques d'attaque avancées à travers un écosystème plus large.
Les équipes de threat intelligence qui attribuent des incidents ransomware sur la base des indicateurs techniques risquent d'être désorientées par ce partage de composants. Un incident où PoisonX est utilisé pour désactiver les EDR avant le chiffrement peut être attribué à GodDamn, à The Gentlemen, ou à un troisième groupe qui a acquis le même composant. L'attribution basée uniquement sur les techniques ou les outils devient moins fiable quand les outils sont partagés. Les indicateurs d'attribution plus robustes incluent les tactiques opérationnelles (choix des cibles, timing, rançon initiale demandée, canal de communication) et les indicateurs d'infrastructure (adresses C2, certificats, patterns réseau) qui sont moins facilement copiés que les outils eux-mêmes.
Pour les équipes de défense, cette ambiguïté d'attribution a une implication pratique : les défenses devraient être orientées contre la technique (BYOVD, AnyDesk comme C2, NirSoft pour le vol de credentials) plutôt que contre le groupe spécifique. Une règle de détection qui identifie le chargement de PoisonX par son hash ou son comportement s'applique à toutes les campagnes qui utilisent ce driver, quelle que soit l'attribution. Une politique qui restreint l'installation d'AnyDesk sans autorisation IT s'applique à toutes les attaques qui utilisent AnyDesk comme vecteur de contrôle à distance.
Si une infection GodDamn est identifiée dans un environnement, les actions de réponse prioritaires diffèrent légèrement de celles d'un incident ransomware générique en raison de la chaîne d'attaque spécifique utilisée. L'isolation réseau immédiate des machines affectées est la première priorité, avec une attention particulière aux connexions AnyDesk actives qui doivent être terminées pour couper le canal de contrôle de l'attaquant. La désactivation des règles de pare-feu ajoutées par PoisonX devrait suivre immédiatement.
La préservation des logs est critique dans ce contexte parce que la chaîne d'attaque GodDamn implique plusieurs outils légitimes (NirSoft, AnyDesk, PsExec) dont la présence dans les logs fournit des indicateurs précieux pour l'analyse forensique et pour la reconstruction de la chronologie de l'attaque. Les logs d'événements Windows, les logs AnyDesk, et les logs réseau des connexions sortantes doivent être préservés avant toute action de remédiation qui pourrait les écraser.
L'étendue potentielle de l'accès aux credentials via les outils NirSoft doit être évaluée rapidement. Si des outils de récupération de mots de passe NirSoft ont été exécutés sur la machine compromise, tous les credentials stockés sur cette machine (navigateurs, Windows Credential Manager, VNC, email, Wi-Fi) doivent être considérés comme compromis et réinitialisés en priorité, avant que l'attaquant puisse les utiliser pour accéder à d'autres systèmes. Cette réinitialisation de credentials devrait précéder la remédiation des machines compromises plutôt que la suivre, parce que l'attaquant dispose potentiellement déjà de ces credentials et peut s'en servir pour maintenir un accès à travers d'autres vecteurs pendant la remédiation.
GodDamn utilise une extension de fichier variable (.God8Damn ou le nom de la victime) et demande le contact via email ou qTox pour la négociation de la rançon. Cette approche de contact personnalisé, distincte des portails de paiement Tor que certains groupes ransomware opèrent, est caractéristique des groupes RaaS qui veulent maintenir une pression négociatrice directe sur les victimes plutôt que d'automatiser le processus de paiement. qTox est un protocole de messagerie chiffré pair-à-pair qui ne dépend pas de serveurs centralisés, ce qui complique le traçage des communications de négociation par les forces de l'ordre.
Les organisations qui reçoivent une demande de rançon GodDamn devraient, avant toute communication avec les attaquants, consulter une équipe spécialisée en réponse aux incidents ransomware et, selon la juridiction applicable, notifier les autorités compétentes (ANSSI en France, CERT-FR pour le signalement initial). La décision de payer ou non une rançon a des dimensions légales, réglementaires, et éthiques qui vont bien au-delà de la simple évaluation coût-bénéfice de la récupération des données. Dans certaines juridictions, payer une rançon à un groupe sanctionné peut exposer l'organisation payante à des violations de réglementations sur les sanctions financières.
La connexion de GodDamn avec The Gentlemen RaaS est également pertinente dans ce contexte : si les autorités ont désigné The Gentlemen ou ses membres comme entités sanctionnées, les paiements à des groupes utilisant les mêmes composants techniques (PoisonX, canaux de communication qTox) pourraient être soumis aux mêmes restrictions. Les conseillers juridiques spécialisés en cybersécurité doivent être impliqués dans toute décision de paiement de rançon, en particulier quand l'attribution pointe vers des groupes potentiellement sous sanctions.
Les équipes IT doivent également auditer la présence de drivers non répertoriés sur leurs endpoints. La présence du fichier g11.sys dans un répertoire temporaire ou inhabituel est un indicateur direct de compromission par PoisonX qui justifie une investigation immédiate et l'isolation de l'endpoint concerné du reste du réseau.
Des ransomwares qui désactivent vos EDR avant de chiffrer, des agents IA manipulés pour exfiltrer vos secrets, des malwares bancaires mobiles en location sur Telegram, des failles XSS dans les messageries d'entreprise : ces menaces n'ont pas de point commun technique, mais elles partagent une caractéristique opérationnelle. Toutes exploitent un angle mort, que ce soit un driver signé non surveillé, une image PNG ignorée par les relecteurs humains, une permission Android mal accordée, ou une mise à jour Zimbra différée. Defendis surveille l'exposition externe de votre organisation, les fuites de credentials liées à votre domaine, et les signaux précurseurs d'activité malveillante dans votre secteur. Quand un groupe de menace commence à cibler des organisations comme la vôtre, vous êtes alerté avant l'impact. Découvrez comment la surveillance continue change les délais de réponse, ou demandez une présentation personnalisée pour votre organisation.
