マイクロソフトは、堅牢なリモートアクセス機能と、システムやデータを永久に破壊する複数の手段をWindows モジュール式Go言語バックドア「GigaWiper」に関する新たな調査結果を公表した。
GigaWiperは、マイクロソフトが2025年10月以降、侵入事件において確認しているWindows です。これは単一の目的を持つワイパーではなく、コマンド＆コントロール（C2）、データ破壊、およびリモートアクセス機能を1つのマルウェアに統合した運用プラットフォームです。
注目すべきは、GigaWiperが、CrucioランサムウェアやFlockWiperディスクワイパーといった、以前は別個に存在していたツールを統合されたフレームワークに組み込んで構築されているように見える点だ。
このマルウェアには、スパイ活動機能（画面キャプチャ、VNCのようなリモート制御、システムインベントリ）や、データを復元不能な状態で破壊する複数の手段といった特徴が見られることから、長期的なアクセス権を確保しつつ、必要に応じてシステムを消去する選択肢も残しておきたいという攻撃者の行動パターンに合致している。
GigaWiperは約20のコマンドを実装しており、これらは大きく「破壊」、「リモートアクセス／監視」、「システム管理」の3つのカテゴリに分類されます。その例としては、次のようなものがあります：
- 生のディスクの内容を大きなブロック単位で上書きし、その後直ちに再起動を強制する生のディスクワイパー。
- ランサムウェアを装った偽のランサムウェア（Crucioベース）のワイパーです 。身代金を要求する代わりに、ファイルを暗号化した後、暗号化キーを破棄するため、復元は不可能です。
- Windows インストールドライブを対象とし、さまざまなバイトパターンを用いて複数回の上書きを行う、Windows Windows 消去ツール。
- 画面のキャプチャおよび録画。これには、各モニターの単発スクリーンショットや、ユーザーが操作している間の連続録画が含まれます。
- TCP（伝送制御プロトコル）サーバーを介したリモートコントロール。このサーバーは、Windows を作成した後、デスクトップをストリーミングし、キーボードおよびマウスの入力を可能にする。
また、GigaWiperは、永続性を維持するために、「OneDrive Update」という名前のスケジュールされたタスクを設定し、これを1分ごとに、およびシステム起動時に実行するようにしています。
コマンド＆コントロールサーバーが以下の場所で発見された。 185.182.193[.]21 そして 212.8.248[.]104.
その管理ユーティリティには、プロセスの作成・一覧表示・終了、Windows 管理、レジストリキーの参照および変更が可能な、プロセスマネージャー、サービスマネージャー、レジストリマネージャーが含まれています。また、ハードウェア、オペレーティングシステム、ネットワーク、ファームウェア、ユーザー、ウイルス対策ソフトなどの詳細を含むシステム情報の収集も行います。
安全に過ごすには
GigaWiperは、攻撃者がすでにシステムを侵害した後に展開されるため、最善の防御策は、最初の侵入を未然に防ぎ、破壊的なコマンドが実行される前に悪意のある活動を検知することです。
Malwarebytes 、GigaWiper のコンポーネントを「Trojan.FlockWiper」および「Backdoor.GigaWiper」という検出名でMalwarebytes 。
- GigaWiperが検出された場合は、攻撃者による破壊的なコマンドの実行を防ぐため、直ちに感染したマシンをネットワークから切り離してください。
- 改ざん防止機能（またはお使いのセキュリティソフトウェアにおける同等の機能）を有効にし、ローカル管理者やマルウェアが、マルウェア対策ソフトやその他のセキュリティツールを気付かれずに無効化できないようにしてください。
- 既知のC2サーバーへの接続、「OneDrive Update」という名前のスケジュールされたタスクの作成、Windows 無効にしようとする不正な試みを監視してください。
- 最後に、特に侵害された可能性があるアカウントについては、認証情報を更新し、権限の昇格や横方向の移動がないかログを確認して、他のシステムも影響を受けていないかを判断してください。
脅威を報告するだけでなく、取り除く
サイバーセキュリティのリスクは、ヘッドラインを超えて広がるべきではありません。今すぐMalwarebytes ダウンロードして、デバイスに脅威を持ち込まないようにしましょう。
