Microsoft ha publicado un nuevo estudio sobre GigaWiper, una puerta trasera modular escrita en Golang para Windows combina un acceso remoto muy eficaz con múltiples formas de destruir de forma permanente los sistemas y los datos.
GigaWiper es una Windows que Microsoft ha detectado en ataques desde octubre de 2025. No se trata de un programa de borrado de datos con un único objetivo, sino de una plataforma operativa que combina funciones de comando y control (C2), destrucción de datos y acceso remoto en un único programa malicioso.
Lo más llamativo es que GigaWiper parece haberse creado a partir de herramientas que antes funcionaban por separado, como el ransomware Crucio y el borrador de discos FlockWiper, integradas en un marco único.
Teniendo en cuenta las características del malware, que incluyen funciones de espionaje (captura de pantalla, control remoto similar al de VNC, inventario del sistema) y múltiples formas de destruir datos de forma irreversible, se ajusta al perfil de un atacante que busca un acceso a largo plazo, pero que también se reserva la opción de borrar los sistemas si así lo decide.
GigaWiper cuenta con unos 20 comandos, que se pueden clasificar, a grandes rasgos, en tres categorías: destrucción, acceso y supervisión remotos, y gestión del sistema. Algunos ejemplos son:
- Herramienta de borrado de discos sin formato que sobrescribe el contenido del disco sin formato en grandes bloques antes de forzar un reinicio inmediato.
- Ransomware falso (basado en Crucio) que se hace pasar por un programa de rescate . En lugar de exigir un pago, cifra los archivos y, a continuación, elimina la clave de cifrado, lo que hace imposible su recuperación.
- Herramienta de borrado seguroWindows que se centra en la unidad Windows y realiza sobrescrituras en varias pasadas utilizando diferentes patrones de bytes.
- Captura y grabación de pantalla, incluyendo capturas de pantalla puntuales de cada monitor y grabación continua mientras el usuario está activo.
- Control remoto a través de un servidor TCP (Protocolo de control de transmisión) que transmite el escritorio y permite el uso del teclado y el ratón tras crear sus propias excepciones en Windows .
GigaWiper también configura una tarea programada llamada «OneDrive Update» que se ejecuta cada minuto y al iniciar el sistema para garantizar su persistencia.
Se han detectado servidores de comando y control en 185.182.193[.]21 y 212.8.248[.]104.
Sus herramientas de gestión incluyen gestores de procesos, servicios y del Registro que permiten crear, listar o finalizar procesos, gestionar Windows , así como navegar por las claves del Registro y modificarlas. Además, recopila información del sistema, incluyendo datos sobre el hardware, el sistema operativo, la red, el firmware, el usuario y el antivirus.
Cómo mantenerse seguro
Dado que GigaWiper se implementa cuando los atacantes ya han comprometido un sistema, la mejor defensa consiste en prevenir la intrusión inicial y detectar la actividad maliciosa antes de que se puedan ejecutar comandos destructivos.
Malwarebytes los componentes de GigaWiper con los nombres de detección «Trojan.FlockWiper » y «Backdoor.GigaWiper».
- Si se detecta GigaWiper, desconecta inmediatamente el equipo afectado de la red para evitar que los atacantes ejecuten comandos destructivos.
- Activa la protección contra manipulaciones (o la función equivalente en tu software de seguridad) para que ni los administradores locales ni el malware puedan desactivar de forma silenciosa el antimalware u otras herramientas de seguridad.
- Supervisa las conexiones a los servidores C2 conocidos, la creación de la tarea programada «OneDrive Update» y los intentos no autorizados de desactivar Windows .
- Por último, cambie las credenciales, sobre todo en aquellas cuentas que puedan haber sido vulneradas, y revise los registros en busca de escaladas de privilegios o movimientos laterales para determinar si otros sistemas también se han visto afectados.
No nos limitamos a informar de las amenazas: las eliminamos
Los riesgos de ciberseguridad nunca deben propagarse más allá de un titular. Mantenga las amenazas alejadas de sus dispositivos descargando Malwarebytes hoy mismo.
