'GodDamn' fidye yazılımı, Microsoft imzalı PoisonX sürücüsüyle güvenlik yazılımlarını körleştiriyor

Broadcom’un Symantec Tehdit Avcılığı Ekibi, GodDamn adı verilen yeni bir fidye yazılımı ailesini ve bunun kullandığı PoisonX adlı kötü amaçlı çekirdek sürücüsünü ortaya çıkardı. GodDamn, ilk kez Mayıs 2026’da görülen Beast fidye yazılımının (o da 2022’de ortaya çıkan Monster’ın bir türevi) yeniden markalanmış hâli; ailenin tamamı Hyadina kod adlı bir geliştirici grubuna atfediliyor.

PoisonX nasıl çalışıyor

PoisonX’i diğer kötücül sürücülerden ayıran özellik, geliştiricilerinin bu sürücüyü Microsoft tarafından geçerli şekilde imzalatmayı başarmış olması. Windows, imzalı sürücüleri otomatik olarak yüklediği için, çekirdek düzeyinde çalışan bu sürücü; güvenlik yazılımı süreçlerini sonlandırabiliyor, bu araçların ihtiyaç duyduğu izinleri sıyırabiliyor ve çekirdeğin dahili olay bildirimlerini bozarak güvenlik ürünlerinin makinede olup biteni görmesini engelleyebiliyor.

Saldırı zinciri

Saldırganlar, “symantec.exe” adıyla gizlenmiş bir kullanıcı-modu savunma atlatma aracıyla birlikte “g11.sys” adlı PoisonX sürücüsünü kullanarak klasik bir BYOVD (bring-your-own-vulnerable-driver) saldırısı gerçekleştiriyor. Kampanya 9 Temmuz 2026’da Symantec tarafından ifşa edildiğinde, hedeflenen kurumda en az 10 bilgisayarın bu dağıtım zincirinden etkilendiği tespit edilmişti.

Neden önemli

Yasal olarak imzalanmış ama kötüye kullanılan sürücüler, kurumsal uç nokta savunmasının en zayıf halkalarından birini oluşturuyor — çünkü işletim sistemi düzeyinde “güvenilir” kabul edilen bir bileşen, güvenlik yazılımının kendisini etkisiz hale getirebiliyor. Bu tür BYOVD saldırılarının artışı, kurumların yalnızca imza doğrulamasına değil, sürücü davranış izlemeye de yatırım yapması gerektiğine işaret ediyor.