Drajver sa Microsoftovim potpisom koristi se u novoj ransomware kampanji

Vesti, 21.07.2026, 15:30 PM

Istraživači kompanije Symantec otkrili su novu kampanju ransomware grupe Hyadina, koja koristi Windows kernel drajver potpisan od strane Microsofta kako bi isključila zaštitu računara pre pokretanja ransomware napada.

Prema navodima istraživača, napadači su kombinovali legitimne administrativne alate, javno dostupne ofanzivne bezbednosne alate i potpisani kernel drajver kako bi stekli kontrolu nad sistemima žrtava pre nego što aktiviraju ransomware GodDamn, najnoviju verziju malvera ove grupe.

Hyadina deluje kao ransomware-as-a-service (RaaS) grupa već četiri godine, a prethodno je koristila malvere poznate pod nazivima Beast i Monster. Najčešće napada organizacije u Sjedinjenim Američkim Državama, dok, prema navodima istraživača, uglavnom izbegava mete u zemljama bivšeg Sovjetskog Saveza.

Iako nije utvrđeno kako su napadači ostvarili početni pristup kompromitovanom sistemu, prvi trag bila je neovlašćena instalacija programa AnyDesk. Dan kasnije na sistem je instaliran drajver PoisonX, koji poseduje važeći Microsoft Hardware Compatibility digitalni potpis, zbog čega ga Windows tretira kao pouzdanu komponentu.

Nakon učitavanja, PoisonX gasi procese bezbednosnih rešenja i uklanja mehanizme koje EDR sistemi koriste za praćenje aktivnosti aplikacija, čime napadačima omogućava da nastave napad uz znatno manju verovatnoću da će biti otkriveni.

Sa oslabljenom zaštitom, napadači zatim koriste alate za krađu lozinki, podataka iz internet pregledača i Wi-Fi akreditiva, kao i poznati alat Mimikatz za izdvajanje autentifikacionih podataka iz Windows sistema. Za dalje širenje kroz mrežu korišćen je i Microsoftov administrativni alat PsExec.

Posebnu pažnju istraživača privukao je upravo drajver PoisonX. On je početkom aprila objavljen na GitHub-u kao navodni istraživački alat, ali Symantec smatra da je njegova osnovna namena onemogućavanje antivirusnih rešenja, zbog čega ga klasifikuje kao malver. Za sada nije poznato kako je drajver dobio Microsoftov digitalni potpis niti da li je proces potpisivanja na neki način zloupotrebljen.

Iako Microsoft održava listu ranjivih i zlonamernih drajvera koje Windows blokira čak i kada poseduju važeći digitalni potpis, istraživači upozoravaju da je potrebno određeno vreme da se novi drajveri dodaju na tu listu. Tokom tog perioda napadači mogu uspešno da zloupotrebljavaju novopotpisane ili tek otkrivene drajvere u svojim kampanjama.

Prema rečima stručnjaka iz Symantec-a, ovaj slučaj pokazuje da čak i legitimni administrativni alati i softver sa važećim digitalnim potpisom mogu postati efikasno oružje u rukama napadača, zbog čega je sve važnije da bezbednosna rešenja prepoznaju sumnjivo ponašanje sistema, a ne samo poznate zlonamerne datoteke ili aplikacije.

Foto: Sunny Hassan | Unsplash