Kurzfassung

Sicherheitsforscher haben eine neue Ransomware-Familie namens GodDamn beschrieben, die nach aktuellem Kenntnisstand einen Kernel-Treiber namens PoisonX nutzt, um Schutzmechanismen auf Endgeräten gezielt auszuschalten. Die Analyse deutet darauf hin, dass es sich um eine Umbenennung oder Weiterentwicklung der bereits bekannten Beast-Ransomware handeln könnte. Für Unternehmen ist das vor allem deshalb relevant, weil Angreifer damit klassische Endpoint-Schutzlösungen vor der eigentlichen Verschlüsselungsphase schwächen können.

Was ist passiert?

Laut der vorliegenden Untersuchung wurde GodDamn erstmals am 21. Mai 2026 öffentlich in freier Wildbahn beobachtet. Das Threat Hunter Team von Symantec ordnet die Beobachtung als Teil einer laufenden Ransomware-Aktivität ein und sieht Hinweise darauf, dass die Gruppe beziehungsweise die Malware-Familie auf bestehende Strukturen zurückgreift. Im Zentrum der Analyse steht der Einsatz von PoisonX, einem Kernel-Treiber, der offenbar dazu verwendet wird, Sicherheitssoftware zu neutralisieren und damit die Abwehr auf dem Zielsystem zu unterlaufen.

Für die Einordnung ist wichtig: Die Quelle nennt keine vollständige technische Kampagne, keine Opferzahlen und keine belastbaren Aussagen zu einem bestimmten geografischen Schwerpunkt. Dennoch ist die Kombination aus Ransomware und gezielter Deaktivierung von Schutzsoftware ein klares Warnsignal für Organisationen mit standardisierten Endpoint-Architekturen.

Technische Details

Der entscheidende Punkt an diesem Vorfall ist die Verteidigungsumgehung auf niedriger Systemebene. Ein Kernel-Treiber arbeitet näher am Betriebssystemkern als normale Anwendungen. Wird ein solcher Treiber missbraucht, kann das die Erkennung und Blockierung durch Sicherheitsprodukte erheblich erschweren. In diesem Fall soll PoisonX dazu dienen, Endpoint-Defenses zu deaktivieren oder zumindest zu beeinträchtigen, bevor die Ransomware ihre eigentliche Wirkung entfaltet.

Aus Sicht der Angreifer ist das technisch sinnvoll: Wenn EDR- oder Antivirus-Komponenten ausgeschaltet werden, sinkt die Wahrscheinlichkeit, dass verdächtige Prozesse, Verschlüsselungsaktivitäten oder Manipulationen an Systemkomponenten rechtzeitig erkannt werden. Für Verteidiger bedeutet das, dass reine Signaturerkennung nicht ausreicht. Gefordert sind mehrschichtige Kontrollen, Härtung von Treibern, Rechtebegrenzung und eine Überwachung von sicherheitsrelevanten Änderungen am Endpoint.

Die Quelle liefert keine Details zu Exploit-Ketten, Initial Access, Persistenzmechanismen oder möglichen Schwachstellen. Deshalb sollte die technische Bewertung vorsichtig bleiben: Sicher belegt ist vor allem der Ansatz der Defense Evasion über einen Kernel-Treiber.

Wer ist betroffen?

Primär betroffen sind Unternehmen und Organisationen, die auf Windows-Endpunkte, zentrale Verwaltung und standardisierte Security-Stacks setzen. Besonders gefährdet sind Umgebungen, in denen lokale Administratorrechte zu großzügig vergeben werden oder in denen Treiberinstallationen nicht streng kontrolliert werden. Auch Branchen mit hoher Betriebsabhängigkeit von Endgeräten, etwa Produktion, Gesundheitswesen, Logistik oder Dienstleister mit vielen mobilen Arbeitsplätzen, sollten das Szenario ernst nehmen.

Für Privatpersonen ist das Risiko im Vergleich zu Unternehmensumgebungen meist geringer, aber nicht irrelevant. Wer unsichere Software installiert, Treiber aus fragwürdigen Quellen zulässt oder Sicherheitswarnungen ignoriert, erhöht die Angriffsfläche. Im Consumer-Bereich ist jedoch typischerweise die Wirkung auf einzelne Systeme begrenzt, während in Unternehmen der Ausfall eines zentral verwalteten Endpoints schnell größere operative Folgen haben kann.

Empfohlene Maßnahmen

Unternehmen sollten ihre Endpoint-Sicherheitsstrategie auf Verteidigung gegen Manipulationen auf Kernel-Ebene prüfen. Dazu gehören unter anderem:

  • strikte Kontrolle von Treiberinstallationen und Code-Signing-Prüfungen
  • Minimierung lokaler Administratorrechte
  • Härtung von EDR- und AV-Konfigurationen gegen Deaktivierung
  • Überwachung ungewöhnlicher Treiberaktivitäten und sicherheitsrelevanter Systemänderungen
  • regelmäßige Offline- und Immutable-Backups, um Erpressungsszenarien abzufedern
  • Incident-Response-Pläne für den Fall, dass Endpoint-Schutz kompromittiert wurde

Zusätzlich ist es sinnvoll, Wiederherstellungsprozesse zu testen. Ransomware-Vorfälle werden häufig nicht allein durch Verschlüsselung kritisch, sondern durch Ausfallzeiten, Wiederanlaufprobleme und Unsicherheit über die Integrität betroffener Systeme. Unternehmen sollten daher nicht nur Prävention, sondern auch Erkennung und schnelle Reaktion priorisieren.

Privatpersonen sollten vor allem darauf achten, Software nur aus vertrauenswürdigen Quellen zu installieren, Betriebssystem und Sicherheitssoftware aktuell zu halten und keine unbekannten Treiber oder Systemtools zu verwenden.

Einschätzung von CyberSecurity-News.de

Die Relevanz dieses Vorfalls ist hoch, obwohl die öffentlich bekannten Details bislang begrenzt sind. Der Grund liegt weniger in einem neuartigen Verschlüsselungsmechanismus als in der Kombination aus Ransomware und gezielter Ausschaltung von Schutzsoftware. Genau solche Vorstufen entscheiden in der Praxis oft darüber, ob ein Angriff früh erkannt oder erst nach erheblichem Schaden bemerkt wird.

Für den DACH-Raum ist das Szenario besonders relevant, weil viele Unternehmen ihre Endgeräte zentral verwalten und auf standardisierte Sicherheitskontrollen setzen. Wird diese Schutzschicht umgangen, kann ein einzelner Vorfall schnell zu flächendeckenden Betriebsstörungen führen. Aus unserer Sicht sollte der Fokus daher auf Resilienz, Treiberkontrolle und privilegienarmer Administration liegen. Wer nur auf klassische Malware-Erkennung vertraut, unterschätzt das Risiko.

Fazit

GodDamn ist ein weiteres Beispiel dafür, dass moderne Ransomware nicht nur Daten verschlüsselt, sondern gezielt die Verteidigung des Zielsystems angreift. Der Einsatz von PoisonX zur Neutralisierung von Endpoint-Schutzmechanismen zeigt, wie wichtig technische Härtung und operative Vorbereitung geworden sind. Unternehmen sollten diesen Fall als Anlass nehmen, ihre Endpoint-Strategie, ihre Rechteverwaltung und ihre Wiederherstellungsfähigkeit kritisch zu überprüfen. Für Verbraucher ist das Risiko meist geringer, doch grundlegende Sicherheitsdisziplin bleibt auch hier wichtig.

Quellenangabe

Weiterführende Quelle: The Hacker News: GodDamn Ransomware Uses PoisonX Driver to Disable Endpoint Defenses