GigaWiper è una nuova backdoor per Windows progettata per unire in un solo impianto funzioni di spionaggio e capacità distruttive tipiche dei wiper. La particolarità è l’architettura modulare basata su comandi numerati, che permette all’operatore di scegliere come agire dopo aver ottenuto accesso alla rete.
Non si tratta quindi di una vulnerabilità da correggere con una patch, ma di malware eseguito quando il sistema è già compromesso, rendendo cruciali monitoraggio precoce e backup offline.
Componente più pericoloso: disk wiping
Il componente più pericoloso è la parte di disk wiping. Una delle modalità sovrascrive direttamente il disco fisico e cancella la tabella delle partizioni, eliminando la mappa che descrive la struttura del drive. Questo approccio evita la cancellazione file per file e rende il recupero estremamente difficile. Un’altra funzione prende di mira l’unità di sistema Windows e la sovrascrive più volte con pattern differenti, aumentando la distruzione dei dati.
Wiper mascherato da ransomware
In parallelo compare un modulo che simula un attacco ransomware ma in realtà è un wiper mascherato: cifra i file, aggiunge una estensione specifica e modifica lo sfondo del desktop per spaventare la vittima, ma non salva alcuna chiave e non fornisce un percorso reale di ripristino. Il risultato è perdita definitiva dei dati, non estorsione.
Funzioni di cyber espionage
Oltre alla distruzione, GigaWiper include funzioni di cyber espionage. Può catturare screenshot di tutti i monitor, registrare lo schermo durante l’uso e aprire sessioni VNC nascoste per controllare mouse e tastiera. Raccoglie informazioni di sistema, gestisce processi e servizi, modifica il registro di Windows e può cancellare i log eventi per ridurre le tracce. Sono stati osservati anche comandi dormienti, inclusi stub per keylogger e ulteriori moduli wiper, segno di una piattaforma in evoluzione.
Persistenza e comunicazioni
Per la persistenza il malware si camuffa come OneDrive creando un’attività pianificata chiamata OneDrive Update eseguita ogni minuto e registrandosi in chiavi del profilo utente. Per le comunicazioni usa servizi legittimi come RabbitMQ, Redis e MinIO, rendendo il traffico meno sospetto in ambienti dove questi strumenti sono già presenti.