GigaWiper
A Microsoft Threat Intelligence egy új, GigaWiper Golang nyelven írt, moduláris romboló backdoort azonosított, amelyet 2025 októbere óta figyeltek meg valós támadásokban. A GigaWiper nem egy hagyományos wiper, hanem egy teljes értékű C2 implantátum, amely több korábban önálló romboló malware funkcióit egyetlen platformba integrálja. A Microsoft két változatot talált, egy önálló wipert és egy nagyobb backdoort, amelynek egyik parancsa ugyanennek a wipernek a végrehajtása. Ez lehetővé teszi, hogy a támadók a kompromittált környezetben a romboló műveleteket csak akkor indítsák el, amikor azt operatív szempontból megfelelőnek ítélik.
A GigaWiper legfontosabb sajátossága, hogy három különböző romboló technikát egyesít. Az első egy fizikai lemezszintű wiper, amely Windows Management Instrumentation segítségével felderíti a fizikai meghajtókat, eltávolítja a nem rendszerlemezek partíciós bejegyzéseit a DeviceIoControl és az IOCTL_DISK_CREATE_DISK hívásokkal, majd közvetlenül felülírja a lemezek nyers tartalmát. A második komponens a Crucio ransomware kódjára épül, a fájlokat véletlenszerűen generált, nem mentett titkosítási kulcsokkal titkosítja, így a visszafejtés gyakorlatilag lehetetlen. A harmadik a FlockWiper logikájának Golangban újraírt változata, amely a fájlokat többmenetes felülírással törli, jelentősen megnehezítve az adat-helyreállítást. A támadók a C2-n keresztül kiválaszthatják, hogy ezek közül melyik rombolási módszert alkalmazzák.
A backdoor emellett teljes körű távoli vezérlést biztosít. Támogatja a futtatást, a fájlkezelést, a folyamatok irányítását, a rendszerinformációk gyűjtését és további modulok futtatását. A korábbi, egyszer használatos romboló programok helyét olyan moduláris platformok veszik át, amelyek hosszabb ideig rejtve maradhatnak a hálózatban, majd a támadás végső fázisában többféle romboló művelet közül választhatnak. A kutatók kiemelik, hogy a GigaWiper elsődleges célja nem a zsarolás, hanem az infrastruktúra működésképtelenné tétele és az adatok végleges megsemmisítése.
