Microsoft は、モジュール式の Golang バックドアである GigaWiper に関する新しい研究を発表しました。 Windows これは、堅牢なリモートアクセス機能と、システムおよびデータを完全に破壊する複数の方法を組み合わせたものです。
GigaWiperはWindows マイクロソフトが2025年10月以降の侵入事例で確認しているバックドア。単なるデータ消去ツールではなく、コマンド＆コントロール（C2）、データ破壊、リモートアクセス機能を1つのマルウェアに統合した運用プラットフォームである。
注目すべきは、GigaWiperが、CrucioランサムウェアやFlockWiperディスクワイパーといった、以前は別個に存在していたツールを統合されたフレームワークに組み込んで構築されているように見える点だ。
このマルウェアには、スパイ活動機能（画面キャプチャ、VNCのようなリモート制御、システムインベントリ）や、データを復元不能な状態で破壊する複数の手段といった特徴が見られることから、長期的なアクセス権を確保しつつ、必要に応じてシステムを消去する選択肢も残しておきたいという攻撃者の行動パターンに合致している。
GigaWiperは約20のコマンドを実装しており、これらは大きく「破壊」、「リモートアクセス／監視」、「システム管理」の3つのカテゴリに分類されます。その例としては、次のようなものがあります：
- 生のディスクの内容を大きなブロック単位で上書きし、その後直ちに再起動を強制する生のディスクワイパー。
- ランサムウェアを装った偽のランサムウェア（Crucioベース）のワイパーです 。身代金を要求する代わりに、ファイルを暗号化した後、暗号化キーを破棄するため、復元は不可能です。
- Windowsドライブのセキュアワイパーは、 Windows インストールドライブを実行し、異なるバイトパターンを使用して複数回の上書きを実行します。
- 画面のキャプチャおよび録画。これには、各モニターの単発スクリーンショットや、ユーザーが操作している間の連続録画が含まれます。
- TCP（伝送制御プロトコル）サーバーを介してリモート制御を行い、独自の画面を作成した後、デスクトップをストリーミングし、キーボードとマウスの入力を可能にする。 Windows ファイアウォールの例外設定。
また、GigaWiperは、永続性を維持するために、「OneDrive Update」という名前のスケジュールされたタスクを設定し、これを1分ごとに、およびシステム起動時に実行するようにしています。
コマンド＆コントロールサーバーが以下の場所で発見された。 185.182.193[.]21 そして 212.8.248[.]104.
その管理ユーティリティには、プロセスの作成、一覧表示、終了、管理、 Windows サービスにアクセスし、レジストリキーを操作および変更します。また、ハードウェア、オペレーティングシステム、ネットワーク、ファームウェア、ユーザー、ウイルス対策ソフトの詳細など、システム情報も収集します。
安全に過ごすには
GigaWiperは、攻撃者がすでにシステムを侵害した後に展開されるため、最善の防御策は、最初の侵入を未然に防ぎ、破壊的なコマンドが実行される前に悪意のある活動を検知することです。
Malwarebytes 検出名Trojan.FlockWiperおよびBackdoor.GigaWiperを持つ GigaWiper コンポーネントを検出します。
- GigaWiperが検出された場合は、攻撃者による破壊的なコマンドの実行を防ぐため、直ちに感染したマシンをネットワークから切り離してください。
- 改ざん防止機能（またはお使いのセキュリティソフトウェアにおける同等の機能）を有効にし、ローカル管理者やマルウェアが、マルウェア対策ソフトやその他のセキュリティツールを気付かれずに無効化できないようにしてください。
- 既知のC2サーバーへの接続、「OneDrive更新」スケジュールタスクの作成、および無効化の不正な試みを監視します。 Windows 回復。
- 最後に、特に侵害された可能性があるアカウントについては、認証情報を更新し、権限の昇格や横方向の移動がないかログを確認して、他のシステムも影響を受けていないかを判断してください。
脅威の報告から、それらを排除することまで。
サイバーセキュリティのリスクは、単なるニュースの見出しに留まるべきではありません。今すぐMalwarebytesダウンロードして、デバイスを脅威から守りましょう。
