Компания Microsoft опубликовала результаты нового исследования, посвященного GigaWiper — модульному бэкдору на языке Golang для Windows сочетает в себе надежный удаленный доступ с множеством способов окончательного уничтожения систем и данных.
GigaWiper — это Windows , который компания Microsoft фиксировала в ходе атак с октября 2025 года. Это не одноцелевая программа для уничтожения данных, а операционная платформа, объединяющая в одном вредоносном ПО функции управления и контроля (C2), уничтожения данных и удаленного доступа.
Примечательно то, что GigaWiper, по всей видимости, создан на основе ранее независимых инструментов, таких как программа-вымогатель Crucio и программа для уничтожения данных FlockWiper, объединенных в единую платформу.
Судя по характеристикам вредоносного ПО, включающим функции шпионажа (создание снимков экрана, удаленное управление по типу VNC, сбор информации о системе) и различные способы необратимого уничтожения данных, оно соответствует поведению злоумышленника, стремящегося получить долгосрочный доступ, но при этом оставляющего за собой возможность стереть данные с систем по своему усмотрению.
GigaWiper поддерживает около 20 команд, которые в целом можно разделить на три категории: уничтожение данных, удалённый доступ/мониторинг и управление системой. Вот несколько примеров:
- Утилита для очистки диска на низкоуровневом уровне, которая перезаписывает содержимое диска большими блоками, а затем принудительно инициирует немедленную перезагрузку.
- Поддельное вымогательское ПО (на базе Crucio), маскирующееся под программу-вымогатель. Вместо того чтобы требовать выкуп, оно шифрует файлы, а затем уничтожает ключ шифрования, что делает восстановление данных невозможным.
- Программа для безопасного стирания данныхWindows , предназначенная для диска Windows и выполняющая многократную перезапись с использованием различных наборов байтов.
- Снимок экрана и запись, включая разовые снимки каждого монитора и непрерывную запись во время работы пользователя.
- Удаленное управление через сервер TCP (Transmission Control Protocol), который обеспечивает потоковую передачу изображения рабочего стола и позволяет вводить данные с клавиатуры и мыши после создания собственных исключений Windows .
Кроме того, GigaWiper настраивает запланированное задание под названием «OneDrive Update», которое запускается каждую минуту и при запуске системы для обеспечения постоянного присутствия.
Серверы управления и контроля были обнаружены по адресу 185.182.193[.]21 и 212.8.248[.]104.
В число его утилит для управления входят диспетчеры процессов, служб и реестра, которые позволяют создавать, просматривать список или завершать процессы, управлять Windows , а также просматривать и изменять ключи реестра. Кроме того, программа собирает информацию о системе, включая сведения об аппаратном обеспечении, операционной системе, сети, прошивке, пользователе и антивирусном ПО.
Как оставаться в безопасности
Поскольку GigaWiper запускается уже после того, как злоумышленники взломали систему, лучшей защитой является предотвращение первоначального вторжения и обнаружение вредоносной активности до того, как будут выполнены разрушительные команды.
Malwarebytes компоненты GigaWiper под именами Trojan.FlockWiper и Backdoor.GigaWiper.
- В случае обнаружения GigaWiper немедленно отключите зараженный компьютер от сети, чтобы не дать злоумышленникам запустить вредоносные команды.
- Включите защиту от несанкционированного вмешательства (или аналогичную функцию в вашем программном обеспечении безопасности), чтобы локальные администраторы и вредоносное ПО не могли незаметно отключить антивирусные программы или другие средства защиты.
- Отслеживайте подключения к известным серверам C2, создание запланированной задачи «OneDrive Update», а также несанкционированные попытки отключить Windows .
- Наконец, обновите учетные данные, особенно для тех учетных записей, которые, возможно, были скомпрометированы, и проанализируйте журналы на предмет случаев повышения привилегий или латерального перемещения, чтобы определить, затронуты ли также другие системы.
Мы не просто сообщаем об угрозах - мы их устраняем
Риски кибербезопасности не должны выходить за рамки заголовка. Загрузите Malwarebytes сегодня, чтобы предотвратить угрозы на своих устройствах.
