A Microsoft publicou uma nova investigação sobre o GigaWiper, um backdoor modular em Golang para Windows que combina o acesso remoto robusto com múltiplas formas de destruir permanentemente sistemas e dados.
O GigaWiper é um Windows Trata-se de uma backdoor que a Microsoft tem observado em intrusões desde outubro de 2025. Em vez de ser um programa de limpeza de dados com uma única finalidade, é uma plataforma operacional que combina opções de comando e controlo (C2), destruição de dados e acesso remoto num único malware.
O que é notável é que o GigaWiper parece ter sido desenvolvido a partir de ferramentas anteriormente independentes, como o ransomware Crucio e o programa de apagamento de discos FlockWiper, integradas numa estrutura consolidada.
Com base nas características do malware, que incluem funcionalidades de espionagem (captura de ecrã, controlo remoto semelhante ao VNC, inventário do sistema) e várias formas de destruir dados de forma irreversível, este encaixa no padrão de um atacante que pretende acesso a longo prazo, mas que também se reserva a opção de apagar os sistemas, caso assim o decida.
O GigaWiper implementa cerca de 20 comandos, que se dividem, em termos gerais, em três categorias: destruição, acesso remoto/monitorização e gestão do sistema. Alguns exemplos incluem:
- Programa de limpeza de disco em bruto que sobrescreve o conteúdo do disco em bruto em grandes blocos antes de forçar um reinício imediato.
- Ransomware falso (baseado no Crucio) do tipo «wiper» que se faz passar por ransomware. Em vez de exigir um pagamento, encripta os ficheiros e, em seguida, elimina a chave de encriptação, tornando a recuperação impossível.
- Windows Drive Security Cleaner que visa o Windows A unidade de instalação realiza sobrescritas em múltiplas passagens utilizando diferentes padrões de bytes.
- Captura e gravação de ecrã, incluindo capturas de ecrã pontuais de cada monitor e gravação contínua enquanto o utilizador estiver ativo.
- Controlo remoto via servidor TCP (Transmission Control Protocol) que transmite o ambiente de trabalho e permite a entrada de teclado e rato após a criação da sua própria interface. Windows Exceções de firewall.
O GigaWiper também configura uma tarefa agendada chamada «OneDrive Update», que é executada a cada minuto e no arranque do sistema, para garantir a persistência.
Foram encontrados servidores de comando e controlo em 185.182.193[.]21 e 212.8.248[.]104.
As suas ferramentas de gestão incluem gestores de processos, serviços e registos que podem criar, listar ou terminar processos, bem como gerir... Windows serviços, e navegar e modificar chaves de registo. Também recolhe informações do sistema, incluindo detalhes de hardware, sistema operativo, rede, firmware, utilizador e antivírus.
Como se manter seguro
Uma vez que o GigaWiper é implementado depois de os atacantes já terem comprometido um sistema, a melhor defesa consiste em impedir a intrusão inicial e detetar atividades maliciosas antes que os comandos destrutivos possam ser executados.
Malwarebytes Deteta componentes do GigaWiper com os nomes de deteção Trojan.FlockWiper e Backdoor.GigaWiper .
- Se for detetado o GigaWiper, desligue imediatamente o computador afetado da rede para impedir que os atacantes executem comandos destrutivos.
- Ative a proteção contra adulterações (ou a funcionalidade equivalente no seu software de segurança) para que os administradores locais e o malware não possam desativar silenciosamente o antimalware ou outras ferramentas de segurança.
- Monitorize as ligações aos servidores C2 conhecidos, a criação da tarefa agendada "Atualização do OneDrive" e as tentativas não autorizadas de os desativar. Windows recuperação.
- Por fim, altere as credenciais, especialmente no caso de contas que possam ter sido comprometidas, e analise os registos para detetar eventuais escaladas de privilégios ou movimentos laterais, a fim de determinar se outros sistemas também foram afetados.
Desde a denúncia de ameaças até à sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos , descarregando hoje mesmo Malwarebytes .
