A Microsoft publicou uma nova investigação sobre o GigaWiper, um backdoor modular escrito em Golang para Windows combina um acesso remoto robusto com várias formas de destruir permanentemente sistemas e dados.
O GigaWiper é um Windows que a Microsoft tem observado em intrusões desde outubro de 2025. Em vez de ser um wiper com uma única finalidade, trata-se de uma plataforma operacional que combina funcionalidades de comando e controlo (C2), destruição de dados e acesso remoto num único malware.
O que é notável é que o GigaWiper parece ter sido desenvolvido a partir de ferramentas anteriormente independentes, como o ransomware Crucio e o programa de apagamento de discos FlockWiper, integradas numa estrutura consolidada.
Com base nas características do malware, que incluem funcionalidades de espionagem (captura de ecrã, controlo remoto semelhante ao VNC, inventário do sistema) e várias formas de destruir dados de forma irreversível, este encaixa no padrão de um atacante que pretende acesso a longo prazo, mas que também se reserva a opção de apagar os sistemas, caso assim o decida.
O GigaWiper implementa cerca de 20 comandos, que se dividem, em termos gerais, em três categorias: destruição, acesso remoto/monitorização e gestão do sistema. Alguns exemplos incluem:
- Programa de limpeza de disco em bruto que sobrescreve o conteúdo do disco em bruto em grandes blocos antes de forçar um reinício imediato.
- Ransomware falso (baseado no Crucio) do tipo «wiper» que se faz passar por ransomware. Em vez de exigir um pagamento, encripta os ficheiros e, em seguida, elimina a chave de encriptação, tornando a recuperação impossível.
- Programa de limpeza seguraWindows que atua na unidade Windows e realiza sobregravações em várias passagens utilizando diferentes padrões de bytes.
- Captura e gravação de ecrã, incluindo capturas de ecrã pontuais de cada monitor e gravação contínua enquanto o utilizador estiver ativo.
- Controlo remoto através de um servidor TCP (Protocolo de Controlo de Transmissão) que transmite o ecrã e permite a introdução de dados através do teclado e do rato, após criar as suas próprias exceções Windows .
O GigaWiper também configura uma tarefa agendada chamada «OneDrive Update», que é executada a cada minuto e no arranque do sistema, para garantir a persistência.
Foram encontrados servidores de comando e controlo em 185.182.193[.]21 e 212.8.248[.]104.
As suas ferramentas de gestão incluem gestores de processos, serviços e registo, capazes de criar, listar ou encerrar processos, gerir Windows e navegar e alterar chaves do registo. Além disso, recolhe informações do sistema, incluindo detalhes sobre o hardware, o sistema operativo, a rede, o firmware, o utilizador e o antivírus.
Como se manter seguro
Uma vez que o GigaWiper é implementado depois de os atacantes já terem comprometido um sistema, a melhor defesa consiste em impedir a intrusão inicial e detetar atividades maliciosas antes que os comandos destrutivos possam ser executados.
Malwarebytes os componentes do GigaWiper com os nomes de deteção «Trojan.FlockWiper » e «Backdoor.GigaWiper».
- Se for detetado o GigaWiper, desligue imediatamente o computador afetado da rede para impedir que os atacantes executem comandos destrutivos.
- Ative a proteção contra adulterações (ou a funcionalidade equivalente no seu software de segurança) para que os administradores locais e o malware não possam desativar silenciosamente o antimalware ou outras ferramentas de segurança.
- Monitorize as ligações aos servidores C2 conhecidos, a criação da tarefa agendada «OneDrive Update» e as tentativas não autorizadas de desativar Windows .
- Por fim, altere as credenciais, especialmente no caso de contas que possam ter sido comprometidas, e analise os registos para detetar eventuais escaladas de privilégios ou movimentos laterais, a fim de determinar se outros sistemas também foram afetados.
Não nos limitamos a comunicar as ameaças - eliminamo-las
Os riscos de cibersegurança nunca se devem propagar para além de uma manchete. Mantenha as ameaças longe dos seus dispositivos descarregando Malwarebytes hoje mesmo.
