Microsoft опубликовала результаты исследования GigaWiper, модульного бэкдора на языке Golang для Windows которая сочетает в себе надежный удаленный доступ с множеством способов безвозвратного уничтожения систем и данных.
GigaWiper — это Windows Бэкдор, обнаруженный Microsoft в ходе вторжений с октября 2025 года. Это не просто средство для уничтожения данных, а операционная платформа, объединяющая функции управления и контроля (C2), уничтожения данных и удаленного доступа в одном вредоносном ПО.
Примечательно то, что GigaWiper, по всей видимости, создан на основе ранее независимых инструментов, таких как программа-вымогатель Crucio и программа для уничтожения данных FlockWiper, объединенных в единую платформу.
Судя по характеристикам вредоносного ПО, включающим функции шпионажа (создание снимков экрана, удаленное управление по типу VNC, сбор информации о системе) и различные способы необратимого уничтожения данных, оно соответствует поведению злоумышленника, стремящегося получить долгосрочный доступ, но при этом оставляющего за собой возможность стереть данные с систем по своему усмотрению.
GigaWiper поддерживает около 20 команд, которые в целом можно разделить на три категории: уничтожение данных, удалённый доступ/мониторинг и управление системой. Вот несколько примеров:
- Утилита для очистки диска на низкоуровневом уровне, которая перезаписывает содержимое диска большими блоками, а затем принудительно инициирует немедленную перезагрузку.
- Поддельное вымогательское ПО (на базе Crucio), маскирующееся под программу-вымогатель. Вместо того чтобы требовать выкуп, оно шифрует файлы, а затем уничтожает ключ шифрования, что делает восстановление данных невозможным.
- Программа для очистки дисков Windows , нацеленная на Windows выполняет установку диска и многопроходную перезапись с использованием различных шаблонов байтов.
- Снимок экрана и запись, включая разовые снимки каждого монитора и непрерывную запись во время работы пользователя.
- Удаленное управление осуществляется через TCP-сервер (Transmission Control Protocol), который транслирует рабочий стол и позволяет вводить данные с клавиатуры и мыши после создания собственного интерфейса. Windows Исключения брандмауэра.
Кроме того, GigaWiper настраивает запланированное задание под названием «OneDrive Update», которое запускается каждую минуту и при запуске системы для обеспечения постоянного присутствия.
Серверы управления и контроля были обнаружены по адресу 185.182.193[.]21 и 212.8.248[.]104.
В состав его утилит управления входят менеджеры процессов, служб и реестра, которые позволяют создавать, отображать список или завершать процессы, а также управлять ими. Windows Он также предоставляет доступ к службам, позволяет перемещаться по ключам реестра и изменять их. Кроме того, он собирает системную информацию, включая данные об оборудовании, операционной системе, сети, микропрограммном обеспечении, пользователе и антивирусе.
Как оставаться в безопасности
Поскольку GigaWiper запускается уже после того, как злоумышленники взломали систему, лучшей защитой является предотвращение первоначального вторжения и обнаружение вредоносной активности до того, как будут выполнены разрушительные команды.
Malwarebytes Обнаруживает компоненты GigaWiper с именами обнаружения Trojan.FlockWiper и Backdoor.GigaWiper .
- В случае обнаружения GigaWiper немедленно отключите зараженный компьютер от сети, чтобы не дать злоумышленникам запустить вредоносные команды.
- Включите защиту от несанкционированного вмешательства (или аналогичную функцию в вашем программном обеспечении безопасности), чтобы локальные администраторы и вредоносное ПО не могли незаметно отключить антивирусные программы или другие средства защиты.
- Отслеживайте подключения к известным серверам управления и контроля (C2), создание запланированной задачи «Обновление OneDrive» и несанкционированные попытки отключения. Windows восстановление.
- Наконец, обновите учетные данные, особенно для тех учетных записей, которые, возможно, были скомпрометированы, и проанализируйте журналы на предмет случаев повышения привилегий или латерального перемещения, чтобы определить, затронуты ли также другие системы.
От сообщения об угрозах до их устранения.
Риски кибербезопасности никогда не должны выходить за рамки заголовков новостей. Защитите свои устройства от угроз, скачав Malwarebytes уже сегодня .
