Microsoft heeft nieuw onderzoek gepubliceerd over GigaWiper, een modulaire Golang-backdoor voor Windows robuuste toegang op afstand combineert met verschillende manieren om systemen en gegevens definitief te vernietigen.
GigaWiper is een Windows die Microsoft sinds oktober 2025 bij inbreuken heeft waargenomen. Het is geen wiper met slechts één doel, maar een operationeel platform dat command-and-control (C2), gegevensvernietiging en mogelijkheden voor toegang op afstand in één stuk malware combineert.
Opvallend is dat GigaWiper lijkt te zijn samengesteld uit voorheen afzonderlijke tools, zoals de Crucio-ransomware en de FlockWiper-schijfvernietiger, die in één geïntegreerd raamwerk zijn ondergebracht.
Gezien de kenmerken van de malware, waaronder spionagefuncties (schermopnames, VNC-achtige bediening op afstand, systeeminventarisatie) en diverse manieren om gegevens onherstelbaar te vernietigen, past deze in het patroon van een aanvaller die op lange termijn toegang wil behouden, maar zich ook de mogelijkheid openhoudt om systemen te wissen als hij dat wil.
GigaWiper beschikt over ongeveer 20 commando’s, die grofweg in drie categorieën kunnen worden onderverdeeld: vernietiging, toegang op afstand/monitoring en systeembeheer. Enkele voorbeelden hiervan zijn:
- Een programma dat de inhoud van een onformatteerde schijf in grote blokken overschrijft, waarna het systeem onmiddellijk opnieuw wordt opgestart.
- Nep-ransomware (gebaseerd op Crucio) die zich voordoet als ransomware. In plaats van losgeld te eisen, versleutelt het programma bestanden en vernietigt het vervolgens de versleutelingssleutel, waardoor herstel onmogelijk wordt.
- Een programma voor het veilig wissen vanWindows , dat zich richt op de Windows en deze in meerdere stappen overschrijft met verschillende bytepatronen.
- Schermopnames en -opnames, waaronder eenmalige schermafbeeldingen van elke monitor en doorlopende opnames terwijl de gebruiker actief is.
- Bediening op afstand via een TCP-server (Transmission Control Protocol) die het bureaublad streamt en invoer via toetsenbord en muis mogelijk maakt, nadat de server zijn eigen uitzonderingen in Windows heeft ingesteld.
GigaWiper stelt ook een geplande taak in met de naam „OneDrive Update“, die elke minuut en bij het opstarten wordt uitgevoerd om de persistentie te behouden.
Er zijn command-and-control-servers aangetroffen op 185.182.193[.]21 en 212.8.248[.]104.
De beheerfuncties omvatten proces-, service- en registerbeheerders waarmee processen kunnen worden aangemaakt, weergegeven of beëindigd, Windows kunnen worden beheerd en registersleutels kunnen worden doorzocht en gewijzigd. Daarnaast verzamelt het programma systeeminformatie, waaronder gegevens over hardware, het besturingssysteem, het netwerk, firmware, gebruikers en antivirussoftware.
Hoe blijf ik veilig
Aangezien GigaWiper pas wordt ingezet nadat aanvallers een systeem al hebben gecompromitteerd, bestaat de beste verdediging erin de eerste inbraak te voorkomen en kwaadaardige activiteiten op te sporen voordat er destructieve opdrachten kunnen worden uitgevoerd.
Malwarebytes GigaWiper-componenten onder de detectienamen Trojan.FlockWiper en Backdoor.GigaWiper.
- Als GigaWiper wordt gedetecteerd, moet u de getroffen computer onmiddellijk van het netwerk loskoppelen om te voorkomen dat aanvallers schadelijke opdrachten uitvoeren.
- Schakel de sabotagebeveiliging in (of de overeenkomstige functie in uw beveiligingssoftware), zodat lokale beheerders en malware de antimalware of andere beveiligingstools niet ongemerkt kunnen uitschakelen.
- Controleer of er verbindingen worden gemaakt met de bekende C2-servers, of de geplande taak „OneDrive Update“ wordt aangemaakt en of er ongeoorloofde pogingen worden ondernomen om Windows uit te schakelen.
- Wissel ten slotte de inloggegevens regelmatig, met name voor accounts die mogelijk zijn gehackt, en controleer de logbestanden op bevoegdheidsuitbreidingen of laterale bewegingen om vast te stellen of ook andere systemen zijn getroffen.
We rapporteren niet alleen over bedreigingen - we verwijderen ze ook
Cyberbeveiligingsrisico's mogen zich nooit verder verspreiden dan een krantenkop. Houd bedreigingen van uw apparaten door Malwarebytes vandaag nog te downloaden.
