正規のMicrosoft署名を得たドライバー「PoisonX」でセキュリティソフトを強制停止、ランサムウェア「GodDamn」の最新手口

4年にわたり静かに進化を続けてきたランサムウェア運用グループが、セキュリティ研究者も「これまでに見たことがない」と評する新たな手法を確立した。エンドポイントセキュリティ製品を破壊するためだけに設計された、正規のMicrosoft署名を持つカーネルドライバーを入手し、被害組織内の少なくとも10台の端末で防御機能を無効化（目潰し）したという。BroadcomのSymantec Threat Hunter Teamが2026年7月9日に公開した調査結果によると、この攻撃には「GodDamn」と呼ばれるランサムウェアと、「PoisonX」と名付けられたカーネルドライバーが使用されている。

■なぜエンドポイントセキュリティはPoisonXのロードを阻止できないのか

PoisonXの動作と、それが有効に機能してしまう理由を理解するには、Windowsがソフトウェアレイヤー間の信頼関係をどのように管理しているかを知る必要がある。Windows OSは、実行環境を特権リング（Privilege Rings）に分割している。一般的なアプリケーションや、セキュリティ製品のダッシュボードインターフェースなどは、「Ring 3」と呼ばれるユーザーモードで動作する。これらは自身のメモリの読み書きしかできず、より機密性の高い処理を行うにはカーネルに要求を出す必要がある。一方、カーネルモードのコードは「Ring 0」で動作する。Ring 0はすべてのメモリやハードウェアへの無制限のアクセス権を持ち、マシン上の任意のプロセスを強制終了する権限を有している。

EDR（Endpoint Detection and Response）ツールなどのセキュリティ製品は、「Protected Process Light（PPL）」と呼ばれる機能を使用して改ざんから自身を保護し、ユーザーモードの管理者権限から強制終了されないようにしている。しかし、この改ざん防止機能はRing 3で動作するものだ。Ring 0で動作するプロセスは、セキュリティプロセスが自身にどのような保護を設定しているかに関係なく、そのメモリ空間に直接アクセスして強制終了させることができる。PoisonXが行っているのは、まさにこれである。

ディスク上に「g11.sys」として保存されるPoisonXは、攻撃者が発見して兵器化した「脆弱性のある既存のドライバー」ではない。セキュリティソフトウェアを強制終了するためだけに特別に作成されたドライバーであり、攻撃者が制御するコードから終了コマンドを受け取るための未公開のIOCTL（入出力制御）インターフェースを備えている。攻撃者がSymantecの正規製品に似せて名付けた実行ファイル「symantec.exe」が、PoisonXをWindowsのシステムドライバーフォルダに配置してサービスとして登録すると、このドライバーは即座にロードされ、EDRツールがシステムイベントの通知を受け取るために使用するカーネルコールバックの削除を開始する。この間もEDRツール自体は動作し続け、ダッシュボードも正常（緑色）を示しているが、OSからのイベント通知が遮断されているため、実際には「目潰し」状態に陥っている。

■MicrosoftがPoisonXに署名した背景とその意味

Symantecが公開した調査結果の中で最も懸念されるのは、PoisonXの存在そのものではなく、このドライバーが有効な「Microsoft Windows Hardware Compatibility Publisher」の署名を持っているという点だ。これは、Microsoft自身の「Hardware Compatibility Program（ハードウェア互換性プログラム）」を経て署名されたことを意味している。

SymantecのBrigid O'Gorman氏は、この異例の事態について次のように述べている。「Microsoftによって署名されるべきではなかったと言うのは簡単だ。しかし、攻撃者がドライバーに署名を得るためにどのような手順を踏んだのか、あるいはどのようにしてMicrosoftを欺いたのかは分かっていない」

この説明が示す隙は、構造的なものである。Microsoftのドライバー署名プログラムは、申請者の身元（パブリッシャーのアイデンティティ）を検証するものであり、申請者が「Hardware Dev Center」の検証プロセスを通過したことを確認するにすぎない。ドライバーの挙動を詳細に分析したり、悪意のあるIOCTLインターフェースをスキャンしたりしているわけではない。身元検証を通過した開発者が、セキュリティ研究ツールを装ってドライバーを申請すれば、ウイルス対策プロセスを強制終了するためだけに設計されたコードであっても署名を受け取ることができてしまう。システムが故障しているわけではなく、設計通りに動作しているのだが、その設計自体が「正当な資格情報を提示しながら悪意を持って行動する開発者」を想定していないのだ。

PoisonXの作成者は、GitHub上で「oxfemale」というエイリアスを使用し、LinkedInではロシアのセキュリティ研究者を自称している人物で、2026年4月7日にこのドライバーを研究ツールとして公開していた。Symantecは、このドライバーには正当なユースケースは存在しないと断言している。公開から数週間以内に、このドライバーは攻撃グループ「Hyadina」によって兵器化され、ランサムウェア・アズ・ア・サービス（RaaS）「The Gentlemen」のアフィリエイトに配布されているツールキット「GentleKiller」に組み込まれた。なお、The Gentlemenは2026年6月までに、70カ国以上で478組織の被害を出していると報告されている。

■4日間にわたる攻撃のタイムライン

Symantecが詳細に分析したインシデントは、2026年5月29日から6月3日にかけて発生したもので、その場しのぎの攻撃ではなく、段階的に計画された侵入だった。Hyadinaが被害組織への初期侵入をどのように達成したかという具体的な経路（初期アクセスベクター）は特定されていない。

最初の不審な活動が確認されたのは5月29日で、組織内の「Computer 1」にリモートデスクトップツール「AnyDesk」がインストールされた。このファイルは標準的なインストールディレクトリではなく、ユーザーの「ミュージック」フォルダ内に配置されており、正規のIT部門による展開とは矛盾する場所だった。この時点で、ファイルは未知のIPアドレスへの外部接続を行っており、攻撃者はすでに内部に侵入していたとみられる。

5月30日、攻撃者は2台目のホストに移動し、「ミュージック」フォルダに「symantec.exe」を配置した。このファイルにより、システムドライバーフォルダにPoisonXが「g11.sys」として配置された。同ホストのユーザープロファイルサブディレクトリからは、14個のツールからなる資格情報窃取キットが発見された。そのうち13個は正規のWindowsユーティリティサイト「NirSoft」のもので、14個目は「Mimikatz」だった。Symantec Threat Hunter Teamによると、これらを組み合わせてブラウザ、Windows資格情報マネージャー、キャッシュされたドメインログイン、VNCセッション、メールクライアント、Wi-Fiプロファイル、およびライブネットワークトラフィックから資格情報が抽出されたという。

6月2日までに、攻撃者は「PsExec」を使用して横展開（ラテラルムーブメント）を行い、組織内の少なくとも10台のホストにAnyDeskを自動起動サービスとして登録・インストールした。各ホストへのインストール完了後、実行中のAnyDeskプロセスを強制終了し、少し待ってからマシンを再起動した。これにより、再起動後も維持される永続的なリモートアクセスの足がかりが、2桁にのぼるシステムに構築された。

6月3日、別のネットワークセグメントに暗号化ペイロードが出現した。「encrypter-windows-gui-x86.exe」というバイナリがユーザーの「ダウンロード」または「ミュージック」フォルダから実行され、暗号化されたファイルの拡張子は、Hyadinaが通常使用する「.God8Damn」ではなく、被害組織自身の名称に変更されていた。

■BYOVDは特殊な手法から「標準的な犯罪インフラ」へ

GodDamnが採用している手法は、セキュリティ業界で「BYOVD（Bring Your Own Vulnerable Driver：脆弱性のあるドライバーの持ち込み）」と呼ばれている。この攻撃の標準的な形態は、グラフィックスユーティリティ、ゲームの不正防止（アンチチート）コンポーネント、ハードウェア監視ツールなど、正規だが脆弱性のある署名済みドライバーを見つけ出し、その脆弱性を悪用してRing 0の権限を得るというものだ。BlackByte、AvosLocker、Lazarus Group、Qilin、Warlock、DeadLockなどの攻撃グループが、これまでBYOVDを導入してきたことが知られている。

しかし、PoisonXはこれとは異なるバリアント（変種）を示している。脆弱性のある正規のドライバーではなく、最初から悪意を持って作成されたドライバーが、どうにかしてMicrosoftの署名審査を通過したものである。この違いは運用上、極めて重要だ。従来のBYOVDツールは、何らかの正当な目的を持つドライバーの欠陥を悪用するため、そのドライバーにパッチが適用されれば攻撃対象領域は縮小する。しかし、PoisonXには修正すべき「欠陥」が存在しない。作成者が意図した通りの動作を正確に実行しているだけだからだ。これを防ぐ唯一の手段は、ハッシュ値やパブリッシャー証明書によってロードをブロックすることであり、そのために「脆弱性のあるドライバーのブロックリスト（Vulnerable Driver Blocklist）」が存在する。

問題はそのタイムラグにある。Symantec Threat Hunter Teamは調査レポートの中で、「ドライバーが特定されてから、ブロックリストの更新が企業のエンタープライズエンドポイントに届くまでには、数日、多くの場合数週間の遅れが生じる。つまり、特定の時点でブロックリストに登録されているのは既知の脆弱なドライバーの一部にすぎず、残念ながら攻撃者はブロックリストよりも迅速に行動することが多い」と指摘している。

他の研究者も同様のギャップを独自に確認している。Windowsの脆弱性のあるドライバーのブロックリストは、主に年1〜2回のWindows機能アップデートを通じて大幅に更新され、緊急の脅威に対しては個別に追加されるが、ベンダー間の調整や互換性テストには時間がかかる。ESETが2026年3月に行った分析では、54個の異なるEDR強制終了ツールがBYOVDを使用しており、合計35個の署名済み脆弱性ドライバーが悪用されていることが判明している。ブロックリストが新たに兵器化されたドライバーに対応する頃には、それを使用した攻撃キャンペーンはすでに終了しているのが実情だ。

■セキュリティチームが今すぐ講じるべき対策

ブロックリストの更新にタイムラグがあるからといって、エンドポイント保護が無価値になるわけではない。ただし、それを唯一の防御層にしてはならない。Symantecの調査や広範なBYOVDに関する文献では、特定のドライバーがブロックリストに登録されているかどうかに依存しない、いくつかの対策が推奨されている。

最も重要なのは「HVCI（ハイパーバイザー保護されたコードの整合性）」の有効化だ。コード整合性の強制を、Ring 0よりも下層のレイヤーであるハイパーバイザーに移行することで、HVCIは有効なMicrosoft署名を持っているコードであっても、明示的に許可されていないカーネルモードコードの実行をブロックできる。これは多くの新しいWindows 11デバイスでデフォルトで有効になっており、Windowsセキュリティ設定の「デバイス セキュリティ」→「コア分離」から有効にできる。まだ有効になっていないエンタープライズ環境では、この設定の有効化を最優先すべきである。

また、「WDAC（Windows Defender アプリケーション制御）」ポリシーを使用することで、ドライバーがカーネルに到達する前に、不正なドライバーのロードを防止できる。Microsoftが推奨するドライバーブロック規則（ダウンロード可能なXMLポリシーとして提供されている）を適用すれば、月例パッチ（Patch Tuesday）の更新を待たずに既知の脆弱なドライバーをブロックできる。

Symantec Threat Hunter Teamは、ドライバーがロードされる前の「振る舞い検知」の重要性を強調している。「振る舞い検知や適応型保護は非常に重要だ。なぜなら、明らかに悪意のあるファイルやツールをブロックするだけでなく、正規に見えるツールから発生したものであっても、ネットワーク上の不審な挙動をブロックできるからだ」。具体的には、AnyDeskなどのリモート管理ツールが異常なディレクトリ（ユーザーのミュージックフォルダなど）に出現すること、標準のパッチサイクル外で「カーネルドライバー」タイプの新しいWindowsサービスが登録されること、System32\drivers以外のユーザー書き込み可能なディレクトリに「.sys」ファイルが出現すること、といった予兆を検知することが挙げられる。

さらに、ドライバーのインストールイベントを監視することで、署名の知識に依存しない早期警告が可能になる。「Sysmon Event ID 6」はドライバーのロードイベントを記録し、Windowsのコード整合性ログは、ブロックされたドライバーの実行が拒否された際に「Event ID 3077」を記録する。どちらも、攻撃者がどのドライバーを使用するかを事前に知っておく必要はない。

そして、最終的な砦となるのが、ネットワークから隔離された（エアギャップされた）バックアップや、改ざん不可能な（イミュータブルな）バックアップだ。攻撃者が10台のホストに到達し、暗号化を開始する前にすべての防御を無効化することに成功した場合、検知と対応のフェーズでの防御は突破されたことになる。復旧は、侵害されたドメインコントローラーから攻撃者がアクセスできなかったバックアップの有無に完全に依存することになる。

■4年にわたり進化を続ける攻撃グループ「Hyadina」

Hyadinaが最初に確認されたのは2022年3月で、当時は32ビットのWindowsシステムを標的としたDelphiベースの「Monster」ランサムウェアを展開し、アフィリエイトを介した一般的なRaaSとして運用していた。Symantecが記録した2022年11月の攻撃でも、2026年6月のGodDamn攻撃で見られたものと同じツールキットのパターン（Mimikatz、NirSoftツール、AnyDesk、NetScan）が確認されている。使用するツール群は4年間で大きく変わっていないが、防御を回避する能力は大幅に向上している。

2024年6月には、Monsterに代わって「Beast」が登場し、より強力な暗号化、マルチスレッド処理、そしてより広範な標的への攻撃能力が追加された。そして2026年5月にBeastの後継として「GodDamn」が登場し、PoisonXが追加された。この進化は、新しいグループが参入したわけではなく、「Hyadina」として追跡されている1人の執拗な開発者が、同じ作戦を体系的に改善し続けていることを示している。

Symantecは「比較的最近発見された悪意あるドライバーコンポーネントであるPoisonXをGodDamnが使用していることは、このグループの防御回避能力の段階的な向上を示しており、Hyadinaがランサムウェアとその機能を積極的に開発し続けていることを裏付けている」と結論付けている。CYFIRMAによると、GodDamnの侵入における身代金交渉には、電子メールと暗号化メッセージングアプリ「qTox」が併用されているという。

GodDamnによる攻撃キャンペーンは現在も活発に行われている。Symantecは、PoisonX（g11.sys）およびsymantec.exeのSHA-256ハッシュを含むIoC（侵害指標）を「Symantec Protection Bulletin」で公開している。組織は、自社のEDRが警告を発しているかどうかにかかわらず、これらのハッシュ値をエンドポイントのインベントリやドライバーフォルダと照合して確認すべきである。PoisonXの目的はEDRを「目潰し」状態にすることであり、無効化されたEDRはその後に発生した不審な動きを検知して警告を発することはないからだ。

■注目ポイントQ&A

●BYOVDとは何ですか？また、GodDamnはそれをどのように悪用していますか？

BYOVD（Bring Your Own Vulnerable Driver）とは、攻撃者が正規の署名が入ったWindowsカーネルドライバーをロードし、その脆弱性を悪用してWindowsシステムで最も高い特権レベルである「Ring 0」の権限を取得する手法です。Ring 0に到達した攻撃者は、改ざん防止機能が有効なセキュリティソフトウェアを含む、実行中のあらゆるプロセスを強制終了できます。多くのBYOVD攻撃は既存の正規ドライバーの欠陥を悪用しますが、GodDamnが使用する「PoisonX」は、最初から悪意を持って作成されたカーネルドライバーであり、署名申請時に機能を偽装することでMicrosoftの正規署名を取得したとみられています。ロードされたPoisonXは、セキュリティプロセスを強制終了し、EDRツールが不審な活動を検知するために依存しているカーネルコールバックを削除します。

●EDRが動作していれば、自社は保護されていると考えてよいですか？

必ずしもそうとは言えません。PoisonXは、EDRツールがイベント通知を受け取るためにOSに登録しているカーネルコールバックを削除します。PoisonXが実行された後も、EDR製品自体は動作し続け、管理画面上は正常に見えるかもしれませんが、プロセスの作成やドライバーのロード、ファイル活動などの通知をOSから受け取れなくなります。これは構造的な制限であり、ユーザーモード（Ring 3）で動作するセキュリティソフトウェアには、カーネルモード（Ring 0）で動作するプロセスを確実に検知または阻止する仕組みがありません。そのため、カーネルより下層で動作するHVCIや、WDACによるアプリケーション制御ポリシー、ドライバーのインストールイベント自体を捉える検知ルールなどが有効な対策となります。

●なぜMicrosoftはセキュリティソフトを強制終了するドライバーに署名してしまったのですか？

Microsoftのドライバー署名プログラムは、申請者の身元を検証するものであり、ドライバーの挙動そのものを詳細に分析するものではないためです。プログラムでは、申請者が身元検証を完了し、互換性テストに合格したことを確認しますが、ドライバーのIOCTLインターフェースが悪意あるプロセス終了を目的に設計されているかどうかまでは検証しません。PoisonXの作成者は、これを「研究ツール」として申請していました。Symantecの研究者は、このドライバーに正当なユースケースは存在しないと確認した上で、「攻撃者が署名を得るためにどのような手順を踏んだのか、どのようにMicrosoftを欺いたのかは分かっていない」と言及しています。これは信頼モデルにおける構造的な隙であり、身元検証と挙動分析は異なる問題であるため、現在の署名プログラムでは前者の解決にとどまっています。

●この特定の攻撃に対するリスクを軽減するために、組織が今すぐできる最も迅速な対策は何ですか？

Windowsエンドポイントで「HVCI（ハイパーバイザー保護されたコードの整合性）」を有効にすることです。HVCIは、Ring 0よりも下層のハイパーバイザーレベルでコードの整合性を強制するため、Microsoftの署名があるドライバーであっても、明示的に許可されていないカーネルモードドライバーの実行をブロックできます。これは、PoisonXが突くカーネルレベルの攻撃対象領域よりも下層で機能する、最も一般的な対策です。HVCIをすぐに導入できない環境では、WDACポリシーを設定して未承認のドライバーロードをブロックし、Microsoftが推奨するドライバーブロック規則を適用するとともに、Sysmon Event ID 6を用いた監視を導入して、暗号化が始まる前に不審なドライバーのインストールを検知できるようにしてください。

元記事: Ransomware Used Microsoft-Signed Malicious Driver to Kill EDR: 10 Hosts Hit Before Encryption