Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.
SCHOCK: Ein Treiber mit Microsoft-Stempel killt deinen Virenschutz
Was da gerade in US-Firmennetzen passiert, ist ein Albtraum für jeden Admin. Die Ransomware-Bande „GodDamn“ (ein Rebrand der alten Beast-Familie) hat einen Kernel-Treiber namens PoisonX im Einsatz — und der trägt eine echte, gültige Microsoft-Signatur. Für Windows sieht er damit aus wie ein normaler, vertrauenswürdiger Systembaustein.
Das Perfide: PoisonX wurde nicht etwa geklaut oder gefälscht. Er hat Microsofts Signatur-Prüfung offenbar regulär durchlaufen. Sein einziger Zweck ist es, tief im System Schutzsoftware abzuschießen — leise, ohne Alarm.
GEFAHR: So läuft der Angriff ab
Die Angreifer kommen zuerst per Fernwartungs-Tool AnyDesk ins Netz, sammeln mit einem NirSoft-Baukasten Passwörter ein und laden dann PoisonX nach. Der Treiber killt auf Kernel-Ebene deine Endpoint-Security — er entfernt sogar die „Haken“, mit denen Schutzprogramme das System überwachen. In einem Fall Anfang Juni wurden so mindestens 10 Rechner in einer einzigen Firma blind geschaltet, bevor die Verschlüsselung losging.
Sicherheitsforscher ordnen die Bande dem Akteur „Hyadina“ zu, der seit rund vier Jahren aktiv ist. Diese „Bring Your Own Vulnerable Driver“-Masche (BYOVD) ist nicht neu — aber ein absichtlich bösartiger, offiziell signierter Treiber hebt die Sache auf ein neues Level.
So schützt du dich JETZT
Aktiviere Microsofts Vulnerable Driver Blocklist (unter Windows-Sicherheit → Gerätesicherheit → Kernisolierung). Beschränke, wer überhaupt Treiber laden darf, und überwache Fernwartungs-Tools wie AnyDesk streng. Das Wichtigste bleibt: Offline-Backups, die kein Angreifer aus dem laufenden System heraus löschen kann.
Ein sauberes Backup ist deine letzte Verteidigungslinie. Wer seine Sicherungen sauber trennt, kann eine Verschlüsselung aussitzen statt Lösegeld zu zahlen. Eine solide Backup-Software wie Acronis True Image* mit Ransomware-Schutz und Cloud-Kopie nimmt dir dabei viel Handarbeit ab.
Häufige Fragen
Wie kann ein bösartiger Treiber von Microsoft signiert sein?
Bin ich als Privatnutzer betroffen?
Was ist ein BYOVD-Angriff?
Wie merke ich einen Angriff frühzeitig?
Quellen: