GodDamn Ransomware: Evolusi Beast Ransomware dengan Driver Kernel PoisonX untuk Melumpuhkan EDR

Ringkasan Eksekutif

Pada awal Juli 2026, peneliti Symantec Threat Hunter Team mengidentifikasi varian ransomware baru bernama GodDamn yang menggunakan teknik Bring Your Own Vulnerable Driver (BYOVD) melalui driver kernel berbahaya bernama PoisonX. Driver ini — yang ditandatangani secara digital oleh Microsoft — memungkinkan ransomware untuk membutakan endpoint security dari kernel level sebelum memulai proses enkripsi.

GodDamn merupakan rebrand dari ransomware Beast (sebelumnya Monster), yang dikembangkan oleh threat actor dengan alias Hyadina. Yang membuat varian ini sangat berbahaya: PoisonX tidak hanya mengeksploitasi kerentanan driver legitimate, melainkan dirancang dari awal sebagai malicious driver dengan fungsionalitas menonaktifkan keamanan yang komprehensif. Fakta bahwa driver ini berhasil lolos proses penandatanganan Microsoft adalah masalah serius yang masih dalam investigasi.

Asal-Usul: Dari Beast ke GodDamn

Evolusi Keluarga Ransomware

Kelompok Hyadina telah aktif mengembangkan ransomware sejak akhir 2025, dengan perubahan branding yang mencolok:

Periode	Nama	Karakteristik Utama
Akhir 2025	Monster	Enkripsi dasar, target terbatas
Awal 2026	Beast	Penambahan teknik anti-analisis, target enterprise
Juli 2026	GodDamn	Integrasi PoisonX BYOVD, EDR blinding

Pola rebranding ini konsisten dengan tren ransomware-as-a-service (RaaS) modern — di mana operator berganti nama untuk menghindari deteksi berbasis reputasi dan sanksi internasional.

Koneksi dengan Infrastruktur Sebelumnya

Analisis Symantec mengungkap bahwa GodDamn menggunakan infrastruktur C2 yang tumpang tindih dengan operasi Beast sebelumnya, serta teknik enkripsi yang identik secara struktural — mengonfirmasi bahwa ini adalah evolusi, bukan kelompok baru.

PoisonX: Senjata Rahasia di Kernel Level

Apa Itu BYOVD?

Bring Your Own Vulnerable Driver (BYOVD) adalah teknik di mana attacker membawa driver yang sah namun memiliki kerentanan ke dalam sistem target, lalu mengeksploitasi kerentanan tersebut untuk mendapatkan akses kernel-level. Karena driver ditandatangani secara sah, sistem operasi mempercayainya dan memuatnya tanpa peringatan.

Spesifikasi Teknis PoisonX

PoisonX adalah driver kernel Windows yang ditandatangani dengan sertifikat Microsoft Authenticode yang valid. Setelah dimuat ke dalam kernel, driver ini memberikan kemampuan:

POISONX CAPABILITIES

POISONX

Menghentikan proses EDR/AV secara paksa
Memanipulasi callback kernel untuk memblokir deteksi
Menonaktifkan ETW (Event Tracing for Windows)
Membutakan AMSI (Antimalware Scan Interface)
Menyembunyikan proses, file, dan koneksi jaringan
Mendisable Windows Defender secara persisten
Kernel-level process injection

Mekanisme Kerja PoisonX

# ALUR KERJA POISONX DRIVER

[LANGKAH 1] GodDamn payload mendrop PoisonX driver (.sys) ke disk
[LANGKAH 2] Service Manager (sc.exe) membuat kernel service baru
[LANGKAH 3] Windows memverifikasi digital signature — [OK] Microsoft-signed
[LANGKAH 4] Driver dimuat ke kernel space dengan hak tertinggi (Ring 0)
[LANGKAH 5] PoisonX meng-unregister callback EDR dari kernel
[LANGKAH 6] Proses keamanan diblokir dari restart dan monitoring
[LANGKAH 7] Ransomware payload utama memulai enkripsi tanpa hambatan

Yang membedakan PoisonX dari driver BYOVD sebelumnya adalah bahwa ia tidak hanya mengeksploitasi kerentanan driver legitimate, melainkan dirancang dari awal sebagai malicious driver dengan fungsionalitas menonaktifkan keamanan yang komprehensif. Fakta bahwa driver ini berhasil lolos proses penandatanganan Microsoft adalah masalah serius yang sedang diinvestigasi.

Anatomi Rantai Serangan Lengkap

Fase 1: Initial Access

GodDamn memperoleh akses awal melalui:

Kredensial RDP yang dicuri — dibeli dari dark web marketplace
Exploitasi kerentanan VPN — termasuk kerentanan Fortinet yang belum di-patch
Phishing spear-targeted — email dengan malicious attachment yang menargetkan admin IT

Fase 2: Persistence dan Discovery

Setelah akses diperoleh, attacker melakukan:

# Contoh: Persistence melalui scheduled task
schtasks /create /tn "SystemAgentService" /tr "C:\Windows\Temp\update.exe" /sc ONLOGON /ru SYSTEM

# Discovery — enumerasi domain controller
net group "Domain Admins" /domain
net group "Enterprise Admins" /domain

# Discovery — identifikasi backup server
Get-WmiObject Win32_Service | Where-Object {$_.Name -like "*backup*" -or $_.Name -like "*veeam*"}

Fase 3: Lateral Movement

Tool yang digunakan untuk pergerakan lateral:

AnyDesk — remote access tool yang sah untuk evasi
PsExec — Microsoft Sysinternals tool untuk eksekusi remote
NirSoft tools — koleksi utility Windows untuk kredensial harvesting
Mimikatz — ekstraksi kredensial dari LSASS memory

Fase 4: Defense Evasion — PoisonX Activation

Ini adalah fase yang membedakan GodDamn dari ransomware lain:

# 1. Drop driver PoisonX ke disk
copy poisonx.sys C:\Windows\System32\drivers\poisonx.sys

# 2. Buat dan jalankan kernel service
sc create PoisonX type= kernel binPath= C:\Windows\System32\drivers\poisonx.sys
sc start PoisonX

# 3. Driver secara otomatis:
#    - Mencari proses EDR/AV yang berjalan
#    - Meng-unregister kernel callbacks
#    - Menonaktifkan filter driver minifilter
#    - Mem-patch fungsi ObRegisterCallbacks

Setelah PoisonX aktif, semua endpoint protection menjadi buta — tidak ada alert, tidak ada logging, tidak ada blocking.

Fase 5: Enkripsi dan Ekstorsi

Ransomware payload utama kemudian:

Menghentikan service database (SQL Server, Exchange, Oracle)
Menghapus Volume Shadow Copy: vssadmin delete shadows /all /quiet
Mengenkripsi file dengan ekstensi target (dokumen, database, VM, backup)
Menjatuhkan ransom note di setiap direktori

Toolkit Serangan: Beyond Ransomware

Alat-Alat yang Digunakan

Tool	Fungsi	Kategori
PoisonX	EDR blinding	Kernel driver
AnyDesk	Remote access	Legitimate tool
PsExec	Remote execution	Sysinternals
Mimikatz	Credential dumping	Post-exploitation
NirSoft	Password recovery	Forensic tool
FileZilla	Data exfiltration	Legitimate tool
RClone	Cloud sync	Legitimate tool

Penggunaan legitimate tool secara agresif (living-off-the-land) membuat deteksi behavioral menjadi tantangan besar — banyak aktivitas attacker tampak seperti aktivitas admin IT normal.

Model Ekstorsi Ganda

Seperti ransomware modern lainnya, GodDamn menerapkan double extortion:

Enkripsi data — file dikunci dengan AES-256 + RSA-2048
Pencurian data — data sensitif dieksfiltrasi sebelum enkripsi
Ancaman publikasi — jika tebusan tidak dibayar, data dipublikasikan di leak site

Mengapa BYOVD Semakin Populer

Tren Penggunaan BYOVD dalam Serangan

2023  [||........]  BYOVD masih jarang, digunakan oleh APT canggih
2024  [||||......]  Mulai diadopsi oleh ransomware kelompok menengah
2025  [|||||||...]  Tersedia sebagai layanan di dark web
2026  [||||||||||]  Menjadi standar de facto untuk ransomware enterprise

BYOVD menjadi populer karena:

Efektivitas tinggi — EDR tidak bisa memblokir driver yang ditandatangani Microsoft
Sulit dideteksi — signature-based detection melihat driver sah
Demokratisasi — driver BYOVD dijual sebagai layanan di forum underground
Respons lambat — Microsoft membutuhkan waktu untuk mencabut sertifikat

Perbandingan dengan Teknik Evasion Lain

Teknik	Ring Level	Efektivitas	Kompleksitas
Process hollowing	Ring 3	Sedang	Rendah
DLL sideloading	Ring 3	Sedang	Rendah
AMSI patching	Ring 3	Tinggi	Sedang
BYOVD (PoisonX)	Ring 0	Sangat Tinggi	Tinggi
Firmware rootkit	Ring -1	Ekstrim	Sangat Tinggi

Dampak dan Target

Profil Target

Symantec melaporkan GodDamn telah menargetkan:

Perusahaan AS di sektor manufaktur, layanan keuangan, dan kesehatan
Institusi pendidikan tinggi
Penyedia layanan TI dan MSP (Managed Service Provider)
Perusahaan dengan infrastruktur Windows yang dominan

Estimasi Dampak

Pada saat publikasi, jumlah korban yang terkonfirmasi masih dalam investigasi, namun indikasi awal menunjukkan:

Setidaknya 12 organisasi terdampak dalam gelombang pertama (Juli 2026)
Permintaan tebusan berkisar antara $250.000 hingga $4.5 juta
Waktu dwell time rata-rata: 8-14 hari sebelum enkripsi

Deteksi dan Indikator Kompromi

Indikator Keberadaan PoisonX

# YARA rule untuk deteksi PoisonX driver
rule PoisonX_Driver {
    strings:
        $s1 = "PoisonX" wide ascii
        $s2 = "DisableSecurity" wide ascii
        $s3 = { 48 8B C4 48 89 58 08 48 89 70 10 }
    condition:
        uint16(0) == 0x5A4D and all of them
}

Perilaku yang Perlu Diwaspadai

Service kernel baru dengan nama mencurigakan (contoh: “PoisonX”, “PxDrv”)
Proses EDR/AV berhenti secara tiba-tiba tanpa alasan jelas
ETW log berhenti merekam event baru
Driver baru muncul di C:\Windows\System32\drivers\ dengan timestamp tidak wajar
Koneksi AnyDesk atau PsExec dari host yang tidak dikenal

Log Event Windows

# Cek driver yang baru diinstal
Get-WinEvent -LogName "System" | Where-Object {
    $_.Id -eq 7045 -and $_.Message -match "PoisonX|PxDrv"
}

# Cek service yang baru dibuat
Get-Service | Where-Object {
    $_.Name -match "PoisonX|PxDrv" -and $_.ServiceType -eq 1
}

Rekomendasi Mitigasi

Pencegahan

Patch VPN dan perimeter devices — Fortinet, Pulse Secure, Citrix ADC harus selalu up-to-date
Batasi RDP exposure — jangan expose RDP langsung ke internet; gunakan VPN atau Zero Trust
Blokir driver BYOVD yang dikenal — gunakan Windows Defender Application Control (WDAC) dengan blocklist driver
Aktifkan Hypervisor-protected Code Integrity (HVCI) — membatasi kemampuan driver kernel
Enforce certificate-based driver signing validation — verifikasi sertifikat tidak dicabut

Deteksi

# PowerShell: Audit driver yang dimuat
driverquery /v /fo csv | ConvertFrom-Csv | 
    Where-Object {$_.'Display Name' -match 'PoisonX|PxDrv'}

# Sysmon: Monitor Event ID 6 (driver loaded)
# Cari driver dengan signer tidak dikenal di path non-standar

Response

Isolasi host terdampak segera — putuskan koneksi jaringan
Jangan restart — memory forensic evidence akan hilang
Kumpulkan memory dump — gunakan tools seperti WinPmem atau Magnet RAM Capture
Analisis driver — submit sample ke VirusTotal atau hybrid-analysis
Rotasi semua kredensial — asumsikan semua password di host terdampak sudah dicuri

Kesimpulan

GodDamn ransomware dengan driver PoisonX menandai eskalasi serius dalam perang antara ransomware dan endpoint security. Fakta bahwa driver malicious berhasil mendapatkan tanda tangan digital Microsoft menunjukkan celah fundamental dalam proses validasi driver — dan ini bukan pertama kalinya insiden semacam ini terjadi.

BYOVD bukan lagi teknik eksotis yang hanya digunakan oleh APT. Ia kini menjadi senjata standar dalam arsenal ransomware enterprise. Efektivitasnya tinggi karena EDR tidak bisa memblokir driver yang ditandatangani Microsoft, signature-based detection melihat driver sah, dan respons pencabutan sertifikat membutuhkan waktu. Demokratisasi melalui penjualan driver BYOVD di forum underground semakin mempercepat adopsinya.

Ketergantungan pada EDR sebagai lapisan pertahanan tunggal sudah tidak memadai. Ketika driver kernel bisa membutakan seluruh sistem keamanan dalam hitungan detik, pertahanan harus dimulai dari lapisan yang lebih dalam: hypervisor-protected code integrity (HVCI), Windows Defender Application Control dengan blocklist driver, kernel-level integrity monitoring, dan hardware root of trust.

Pelajaran terpenting dari GodDamn: backup offline yang immutable adalah satu-satunya jaminan pemulihan. Ketika PoisonX membutakan EDR dan payload enkripsi berjalan tanpa hambatan, tidak ada tools keamanan yang bisa menyelamatkan data — hanya backup yang terverifikasi dan air-gapped yang bisa. Organisasi yang masih menguji backup mereka setahun sekali perlu mempertimbangkan ulang frekuensi dan kedalaman pengujian tersebut.

Artikel ini disusun berdasarkan laporan Symantec Threat Hunter Team (Juli 2026), analisis Dark Reading, Security Affairs, Galaxy Warden, dan pemantauan tim Threat Intelligence Seraphim News.