Компания Microsoft опубликовала результаты нового исследования, посвященного GigaWiper — модульному бэкдору на языке Golang для Windows сочетает в себе надежный удаленный доступ с множеством способов окончательного уничтожения систем и данных.
GigaWiper — это Windows , который компания Microsoft фиксировала в ходе атак с октября 2025 года. Это не одноцелевая программа для уничтожения данных, а операционная платформа, объединяющая в одном вредоносном ПО функции управления и контроля (C2), уничтожения данных и удаленного доступа.
Примечательно то, что GigaWiper, по всей видимости, создан на основе ранее независимых инструментов, таких как программа-вымогатель Crucio и программа для уничтожения данных FlockWiper, объединенных в единую платформу.
Судя по характеристикам вредоносного ПО, включающим функции шпионажа (создание снимков экрана, удаленное управление по типу VNC, сбор информации о системе) и различные способы необратимого уничтожения данных, оно соответствует поведению злоумышленника, стремящегося получить долгосрочный доступ, но при этом оставляющего за собой возможность стереть данные с систем по своему усмотрению.
GigaWiper поддерживает около 20 команд, которые в целом можно разделить на три категории: уничтожение данных, удалённый доступ/мониторинг и управление системой. Вот несколько примеров:
- Утилита для очистки диска на низкоуровневом уровне, которая перезаписывает содержимое диска большими блоками, а затем принудительно инициирует немедленную перезагрузку.
- Поддельное вымогательское ПО (на базе Crucio), маскирующееся под программу-вымогатель. Вместо того чтобы требовать выкуп, оно шифрует файлы, а затем уничтожает ключ шифрования, что делает восстановление данных невозможным.
- Программа для безопасного стирания данныхWindows , предназначенная для диска Windows и выполняющая многократную перезапись с использованием различных наборов байтов.
- Снимок экрана и запись, включая разовые снимки каждого монитора и непрерывную запись во время работы пользователя.
- Удаленное управление через сервер TCP (Transmission Control Protocol), который обеспечивает потоковую передачу изображения рабочего стола и позволяет вводить данные с клавиатуры и мыши после создания собственных исключений Windows .
Кроме того, GigaWiper настраивает запланированное задание под названием «OneDrive Update», которое запускается каждую минуту и при запуске системы для обеспечения постоянного присутствия.
Серверы управления и контроля были обнаружены по адресу 185.182.193[.]21 и 212.8.248[.]104.
В число его утилит для управления входят диспетчеры процессов, служб и реестра, которые позволяют создавать, просматривать список или завершать процессы, управлять Windows , а также просматривать и изменять ключи реестра. Кроме того, программа собирает информацию о системе, включая сведения об аппаратном обеспечении, операционной системе, сети, прошивке, пользователе и антивирусном ПО.
Как оставаться в безопасности
Поскольку GigaWiper запускается уже после того, как злоумышленники взломали систему, лучшей защитой является предотвращение первоначального вторжения и обнаружение вредоносной активности до того, как будут выполнены разрушительные команды.
Malwarebytes компоненты GigaWiper под именами Trojan.FlockWiper и Backdoor.GigaWiper.
- В случае обнаружения GigaWiper немедленно отключите зараженный компьютер от сети, чтобы не дать злоумышленникам запустить вредоносные команды.
- Включите защиту от несанкционированного вмешательства (или аналогичную функцию в вашем программном обеспечении безопасности), чтобы локальные администраторы и вредоносное ПО не могли незаметно отключить антивирусные программы или другие средства защиты.
- Отслеживайте подключения к известным серверам C2, создание запланированной задачи «OneDrive Update», а также несанкционированные попытки отключить Windows .
- Наконец, обновите учетные данные, особенно для тех учетных записей, которые, возможно, были скомпрометированы, и проанализируйте журналы на предмет случаев повышения привилегий или латерального перемещения, чтобы определить, затронуты ли также другие системы.
От сообщения об угрозах до их устранения.
Риски кибербезопасности не должны выходить за рамки заголовка. Загрузите Malwarebytes сегодня, чтобы предотвратить угрозы на своих устройствах.
