Microsoft a publié une nouvelle étude sur GigaWiper, une porte dérobée modulaire écrite en Golang pour Windows combine un accès à distance performant avec plusieurs moyens de détruire définitivement les systèmes et les données.
GigaWiper est une Windows que Microsoft a détectée dans le cadre d’intrusions depuis octobre 2025. Loin d’être un logiciel de destruction de données à usage unique, il s’agit d’une plateforme opérationnelle qui combine des fonctionnalités de commande et de contrôle (C2), de destruction de données et d’accès à distance au sein d’un seul et même logiciel malveillant.
Ce qui est remarquable, c'est que GigaWiper semble avoir été développé à partir d'outils auparavant distincts, tels que le ransomware Crucio et le programme d'effacement de disque FlockWiper, regroupés au sein d'un cadre unifié.
Au vu des caractéristiques de ce logiciel malveillant, qui comprend des fonctionnalités d’espionnage (capture d’écran, contrôle à distance de type VNC, inventaire du système) ainsi que plusieurs moyens de détruire irrémédiablement les données, il correspond au profil d’un attaquant qui cherche à obtenir un accès à long terme tout en se réservant la possibilité d’effacer les systèmes s’il le souhaite.
GigaWiper prend en charge une vingtaine de commandes, qui se répartissent globalement en trois catégories : destruction, accès à distance/surveillance et gestion du système. En voici quelques exemples :
- Outil d'effacement de disque brut qui écrase le contenu du disque brut par gros blocs avant de forcer un redémarrage immédiat.
- Faux ransomware (basé sur Crucio) de type « wiper » qui se fait passer pour un ransomware. Au lieu d'exiger une rançon, il chiffre les fichiers puis détruit la chiffrement , rendant ainsi toute récupération impossible.
- Outil de suppression sécurisée des données sur Windows Windows , qui cible ce dernier et effectue des écrasements en plusieurs passes à l'aide de différents motifs d'octets.
- Capture et enregistrement d'écran, y compris des captures d'écran ponctuelles de chaque moniteur et un enregistrement en continu pendant que l'utilisateur est actif.
- Contrôle à distance via un serveur TCP (Transmission Control Protocol) qui diffuse le bureau en continu et permet la saisie au clavier et l'utilisation de la souris après avoir créé ses propres exceptions dans Windows .
GigaWiper configure également une tâche planifiée intitulée « OneDrive Update » qui s'exécute toutes les minutes et au démarrage afin de garantir sa persistance.
Des serveurs de commande et de contrôle ont été découverts à 185.182.193[.]21 et 212.8.248[.]104.
Ses outils de gestion comprennent des gestionnaires de processus, de services et du registre qui permettent de créer, répertorier ou arrêter des processus, de gérer Windows , ainsi que de parcourir et de modifier les clés de registre. Il recueille également des informations système, notamment sur le matériel, le système d'exploitation, le réseau, les micrologiciels, les utilisateurs et les antivirus.
Comment rester en sécurité
Étant donné que GigaWiper est déployé après que les pirates ont déjà compromis un système, la meilleure défense consiste à empêcher l'intrusion initiale et à détecter toute activité malveillante avant que des commandes destructrices ne puissent être exécutées.
Malwarebytes les composants de GigaWiper sous les noms de détection « Trojan.FlockWiper » et « Backdoor.GigaWiper ».
- Si GigaWiper est détecté, déconnectez immédiatement la machine concernée du réseau afin d'empêcher les pirates de lancer des commandes destructrices.
- Activez la protection contre les manipulations malveillantes (ou la fonctionnalité équivalente de votre logiciel de sécurité) afin d'empêcher les administrateurs locaux et les logiciels malveillants de désactiver discrètement les outils anti-malware ou autres outils de sécurité.
- Surveillez les connexions aux serveurs C2 connus, la création de la tâche planifiée « OneDrive Update » et les tentatives non autorisées visant à désactiver Windows .
- Enfin, changez régulièrement les identifiants, en particulier pour les comptes susceptibles d'avoir été compromis, et examinez les journaux à la recherche d'élevations de privilèges ou de mouvements latéraux afin de déterminer si d'autres systèmes ont également été affectés.
Nous ne nous contentons pas de signaler les menaces, nous les éliminons.
Les risques de cybersécurité ne devraient jamais se propager au-delà d'un titre. Éliminez les menaces de vos appareils en téléchargeant Malwarebytes dès aujourd'hui.
