A new Osiris ransomware strain has emerged, leveraging the POORTRY driver in BYOVD attacks to compromise systems.

Attackers are increasingly using Bring Your Own Vulnerable Driver (BYOVD) to abuse signed Windows drivers, gain kernel-level control, and disable AV or EDR defenses as part of modern ransomware intrusions. Symantec's whitepaper explains how tools like TrueSightKiller, GhostDriver, AuKill, and Poortry exploit this tactic and why behavioral monitoring is more effective than blocklists or kernel hardening alone. #BringYourOwnVulnerableDriver #TrueSightKiller #GhostDriver #AuKill #Poortry #Symantec

Researchers identified a new Osiris ransomware used in a November 2025 attack, abusing the POORTRY driver via BYOVD to disable security tools.

The malicious PoorTry kernel-mode Windows driver used by multiple ransomware gangs to turn off Endpoint Detection and Response (EDR) solutions has evolved into an EDR wiper, deleting files crucial for the operation of security solutions and making restoration harder.

The new Osiris ransomware strain shows links to Medusa and Inc groups, using a custom-signed malicious driver (Poortry/Abyssworker) to disable security software in a sophisticated BYOVD attack.

Le pilote malveillant PoorTry pour Windows, utilisé par différents ransomwares pour désactiver les solutions EDR, a évolué afin de devenir un EDR wiper.

The malicious PoorTry kernel-mode Windows driver used by multiple ransomware gangs to turn off Endpoint Detection and Response (EDR) solutions has evolved into an EDR wiper, deleting files crucial for...

Researchers identified a new Osiris ransomware used in a November 2025 attack, abusing the POORTRY driver via BYOVD to disable security tools. Symantec and Carbon Black researchers uncovered a new ransomware strain named Osiris, used in a November 2025 attack against a major Southeast Asian food service franchise operator. The attackers deployed a malicious driver, […]

Cybersecurity researchers have disclosed details of a new ransomware family called Osiris that targeted a major food service franchisee operator in Southeast Asia in November 2025. The attack leveraged a malicious driver called POORTRY as part of a known technique referred to as bring your own vulnerable driver (BYOVD) to disarm security software, the Symantec and Carbon Black Threat Hunter

Experts uncovered a new Osiris ransomware strain that used a custom POORTRY driver in a BYOVD attack to disable security tools & steal data in 2025.

Poortry driver and modified Rustdesk tool used in recent attack campaign, which bears similarities to previous Inc ransomware attacks.

Poortry driver and modified Rustdesk tool used in recent attack campaign, which bears similarities to previous Inc ransomware attacks.

Stop malware-free attacks with agentless, AI-driven application control. Block what's abused, allow what your business needs.

Curate Feeds | Make Collections | Customize Email Briefs

Researchers from Symantec and Carbon Black have identified a new ransomware named Osiris, which was used in an attack in November 2025 against a major food service franchise operator in Southeast Asia. The attackers exploited the BYOVD (Bring Your Own Vulnerable Driver) technique by using the POORTRY driver to disable security tools. This method allows cybercriminals to bypass protections by deploying a malicious driver to neutralize security solutions before deploying the ransomware.

Cybersecurity researchers have disclosed details of a new ransomware family called Osiris that targeted a major food service franchisee operator in Southeast Asia in November 2025. The attack leveraged a malicious driver called POORTRY as part of a known technique referred to as bring your own vulnerable driver (BYOVD) to disarm security software, the Symantec and Carbon Black Threat Hunter

サイバーセキュリティ研究者は、2025年11月に東南アジアの大手フードサービス・フランチャイジー運営企業を標的にしたOsirisと呼ばれる新しいランサムウェア・ファミリーの詳細を明らかにしました。 この攻撃では、セキュリティソフトを無力化するために「Bring Your Own Vulnerable Driver（BYOVD）」として知られる手法の一環として、POORTRYと呼ばれる悪意のあるドライバーが悪用されたと、SymantecおよびCarbon BlackのThreat Hunter Teamは述べています。 注目すべき点として、Osirisはまったく新しいランサムウェア亜種と評価されており、2016年12月にLockyランサムウェアの派生として登場した同名の別の亜種とは共通点がありません。現時点では、このロッカーの開発者が誰なのか、またランサムウェア・アズ・ア・サービス（RaaS）として宣伝されているのかは不明です。 しかし、Broadcom傘下のサイバーセキュリティ部門は、このランサムウェアを展開した脅威アクターが、以前にINCランサムウェア（別名Warble）と関係していた可能性を示す手がかりを特定したと述べました。 「この攻撃では、さまざまな“Living off the Land”ツールやデュアルユース（正当用途と悪用の両方が可能）ツールが使用され、悪意のあるPOORTRYドライバーも用いられました。これは、セキュリティソフトを無効化するためのBYOVD攻撃の一部として使われた可能性が高い」と同社は、The Hacker Newsと共有したレポートで述べています。 「攻撃者がWasabiのバケットへデータを持ち出したこと、そしてINCランサムウェアを展開する攻撃者が以前に同じファイル名（kaz.exe）で使用していたMimikatzのバージョンが使われたことは、この攻撃とINCが関与する一部の攻撃との潜在的な関連を示しています。」 経験豊富な攻撃者によって用いられている可能性が高い「効果的な暗号化ペイロード」と説明されるOsirisは、ハイブリッド暗号方式と、ファイルごとに固有の暗号鍵を使用します。また、サービスの停止、暗号化対象のフォルダーや拡張子の指定、プロセスの終了、身代金要求メモの投下などが可能で、柔軟性も備えています。 デフォルトでは、Microsoft Office、Exchange、Mozilla Firefox、WordPad、メモ帳、ボリュームシャドウコピー、Veeamなどに関連する多数のプロセスやサービスを終了させるよう設計されています。 標的ネットワークにおける最初の悪性活動の兆候は、ランサムウェア展開前にRcloneを使用して機微データをWasabiのクラウドストレージ・バケットへ持ち出したことでした。攻撃では、Netscan、Netexec、MeshAgentといった複数のデュアルユースツールに加え、Rustdeskリモートデスクトップソフトのカスタム版も利用されました。 POORTRYは従来のBYOVD攻撃とやや異なり、標的ネットワークに正規だが脆弱なドライバーを投入するのではなく、権限昇格とセキュリティツールの終了を目的に明示的に設計された専用ドライバーを使用します。 SymantecおよびCarbon BlackのThreat Hunter Teamは、「セキュリティプロセスを終了させるために脆弱なドライバーを展開するツールであるKillAVも、標的ネットワークに投入されていた」と指摘しました。「また、攻撃者にリモートアクセスを提供する目的と思われる形で、ネットワーク上でRDPも有効化されていました。」 この動きは、ランサムウェアが依然として企業にとって重大な脅威であり続ける中で起きています。いくつかのグループが活動を停止する一方、別のグループがその灰の中から急速に台頭したり、空いた席を埋めるように参入したりするなど、状況は絶えず変化しています。SymantecとCarbon Blackがデータリークサイトを分析したところ、ランサムウェア攻撃者は2025年に合計4,737件の攻撃を主張しており、2024年の4,701件から0.8%増加しました。 過去1年間で最も活発だったプレイヤーは、Akira（別名DarterまたはHowling Scorpius）、Qilin（別名StinkbugまたはWater Galura）、Play（別名Balloonfly）、INC、SafePay、RansomHub（別名Greenbottle）、DragonForce（別名Hackledorb）、Sinobi、Rhysida、CACTUSでした。この分野におけるその他の注目すべき動向は以下のとおりです - Akiraランサムウェアを使用する脅威アクターは、2025年中盤から後半に観測された攻撃で、Windows CardSpace User Interface AgentおよびMicrosoft Media Foundation Protected Pipelineとともに、脆弱なThrottlestopドライバーを悪用し、Bumblebeeローダーをサイドロードしました。 Akiraランサムウェアのキャンペーンは、企業のM&A（合併・買収）期間中に中小企業環境へ侵入し、最終的に買収側のより大きな企業へのアクセスを得るため、SonicWallのSSL VPNを

新たに発見されたランサムウェアファミリー「Osiris」は、2025年11月に東南アジアの大手フードサービス・フランチャイズ加盟企業を標的にしました。 2016年のLockyランサムウェア亜種と同名であるものの、セキュリティ研究者は、これは前身とは無関係な全く新しい脅威であると確認しています。 ただし、証拠からは、過去にIncランサムウェアの活動に関与していた脅威アクターとの潜在的な関連が示唆されています。 攻撃者はキャンペーン全体を通じて、Living off the Landバイナリ（LOLBins）およびデュアルユースツールを広範に使用しました。 特に、侵害されたシステム上のセキュリティソフトを無効化するため、Bring Your Own Vulnerable Driver（BYOVD）攻撃で悪性のPoortryドライバーを悪用しました。 SymantecおよびCarbon Black Threat Hunter Teamの調査は、Osirisが開発者不明で運用体制も不透明な、独自のランサムウェアファミリーであることを明らかにしました。 調査の過程で、Incランサムウェアの運用と戦術面で複数の重複が確認されました。攻撃者は盗んだデータをWasabiのクラウドストレージ・バケットへ流出させましたが、これは2025年10月のIncランサムウェア攻撃でも観測されていた手口です。 さらに、脅威アクターは、Incランサムウェア運用者が以前使用していたのと同一のファイル名「kaz.exe」でMimikatzを展開しており、戦術の模倣、または元Incアフィリエイトの直接関与を示唆しています。 ランサムウェアの技術的能力 Osirisは、サービス停止、特定フォルダーおよびファイル拡張子の選択的暗号化、プロセス強制終了、身代金メモの配置など、標準的なランサムウェア機能を備えています。 このマルウェアは、カスタマイズされた動作のために複数のコマンドライン・パラメータを受け付けます。具体的には、ログファイルの指定、暗号化対象のファイル／ディレクトリパス、設定削除を伴うHyper-V VMの無効化、VM単位でのスキップ、部分（「head」）または完全（「full」）暗号化の選択です。 ランサムウェアは、実行ファイル（.exe、.dll、.msi）、メディアファイル（.mp4、.mp3、.mov、.avi）、システムファイル（.sys、.inf）などの特定ファイル種別、およびWindows、PerfLogs、ProgramData、System Volume Informationといった重要なWindowsディレクトリを暗号化対象から戦略的に除外します。 暗号化完了後、Osirisは影響を受けたファイルにOsiris拡張子を付与し、Volume Shadow Copy Service（VSS）を用いてシステムスナップショットを削除します。 Osirisは、SQL、Oracle、MySQLなどのデータベース、およびMicrosoft Officeアプリケーション（Excel、Word、Outlook、PowerPoint）、通信ツール（Firefox、Thunderbird）、システムサービスを含む、生産性アプリケーションのプロセスを終了させます。 このランサムウェアは、楕円曲線暗号（ECC）とAES-128-CTRを組み合わせたハイブリッド暗号方式を実装しています。暗号化される各ファイルには固有のAESキーが割り当てられ、暗号化処理中の非同期入出力要求はcompletionIOPortが管理します。 また、VSS、SQLサービス、Microsoft Exchange、VeeamやGxVssを含むバックアップソリューションなどの重要サービスも停止します。 被害者には「Osiris-MESSAGE.txt」というタイトルの身代金メモが渡され、盗難データの主張と交渉用チャットリンクが含まれます。 ランサムウェア展開の数日前、攻撃者がRcloneを使用してWasabiのクラウドストレージ・バケットへデータを流出させた際に、初期の不審な活動が確認されました。 脅威アクターは、ネットワーク偵察用のNetscan、横展開用のNetexec、リモートアクセス用のMeshAgentなど、複数のデュアルユースツールを展開しました。 特に攻撃者は、Rustdeskのリモート監視・管理ツールをカスタマイズし、検知回避のためWinZipのアイコンを含む「WinZip Remote Desktop」に偽装して使用しました。 攻撃者は、Malwarebytesのアンチエクスプロイト・ドライバーに偽装したAbyssworker/Poortry悪性ドライバーを展開し、セキュリティソフト無効化のためのBYOVD攻撃を実行しました。 GoogleのMandiantは2022年にPoortryを初めて文書化し、その後2024年および2025年を通じてMedusaランサムウェアのキャンペーンで使用されたことが確認されています。Poortryは通常、Stonestopローダーと併用され、ローダーがドライバーをインストールし、被害者マシン上での動作を指示します。 BYOVDは現在、ランサムウェア運用者の間で最も一般的な防御妨害手法です。 攻撃者は通常、カーネルモードで動作する署名済みの脆弱ドライバーを展開し、権限昇格、セキュリティソフトの停止、プロセス妨害を可能にします。 Poortryは従来のBYOVDドライバーとは異なり、攻撃者が悪用目的で特別に開発し、正規のコード署名の取得にも成功したことを示す証拠があります。多くのBYOVD攻撃は、カスタム開発の悪性ドライバーではなく、既存の正規の脆弱ドライバーを悪用します。 攻撃者はさらに、脆弱ドライバーを展開してセキュリティプロセスを終了させるための専用ツールKillAVを使用し、永続的なリモートアクセス能力のためにリモートデスクトッププロトコル（RDP）を有効化しました。 Osirisランサムウェアがより広範な脅威環境に与える影響の全容は、依然として不明です。しかし、このマルウェアは、経験豊富な運用者によって行使される有効な暗号化能力を示しています。 特にWasabiクラウドストレージの利用や、同一のMimikatz展開パターンといったIncランサムウェア運用との戦術的重複は、当該グループまたはそのアフィリエイトとの潜在的なつながりを示しています。 翻訳元:

Experts uncovered a new Osiris ransomware strain that used a custom POORTRY driver in a BYOVD attack to disable security tools & steal data in 2025.

Researchers identified a new Osiris ransomware used in a November 2025 attack, abusing the POORTRY driver via BYOVD to disable security tools.

The Poortry/BurntCigar toolkit has added more ways for it to evade detection, evolved into something akin to a rootkit.

The malicious PoorTry kernel-mode Windows driver used by multiple ransomware gangs to turn off Endpoint Detection and Response (EDR) solutions has evolved into an EDR wiper, deleting files crucial…