Νέα έρευνα της Microsoft ασχολήθηκε με το GigaWiper, ένα modular Golang backdoor για Windows, που συνδυάζει την ισχυρή απομακρυσμένη πρόσβαση στον υπολογιστή μας με πολλαπλούς τρόπους, έχοντας ως στόχο να καταστρέψει μόνιμα το σύστημα και να εξαφανίσει τα δεδομένα μας.
Το GigaWiper είναι ένα backdoor των Windows, με τις πρώτες επιθέσεις να εντοπίζονται από τον Οκτώβριο του 2025. Στην ουσία πρόκειται για μια ολόκληρη λειτουργική πλατφόρμα που συνδυάζει επιλογές εντολών και ελέγχου (C2), καταστροφής δεδομένων και απομακρυσμένης πρόσβασης σε ένα και μόνο κακόβουλο λογισμικό.
Αυτό που έχει μεγάλο ενδιαφέρον είναι πως σχεδιαστικά έχει δημιουργηθεί συνδυάζοντας ξεχωριστά εργαλεία, όπως το ransomware Crucio και το FlockWiper disk wiper. Ο προγραμματιστής πίσω από το GigaWiper συνδύασε προηγούμενα γνωστά εργαλεία και τα έκανε να συνεργάζονται μεταξύ τους σε ένα εξαιρετικά επικίνδυνο πακέτο.
Το malware διαθέτει λειτουργίες κατασκοπείας, αφού επιτρέπει τη θέαση της οθόνης μας, τον απομακρυσμένο έλεγχο του υπολογιστή μας και την πρόσβαση στα αρχεία του συστήματος. Όταν ο εισβολέας αποσπάσει τα δεδομένα που θέλει, μπορεί να ξεκινήσει μια μη αναστρέψιμη καταστροφή των αρχείων του υπολογιστή και, μαζί με αυτά, να σβήσει κάθε ίχνος της επίθεσής του.
Οι 3 πυλώνες καταστροφής του GigaWiper
Το σύστημα του GigaWiper περιλαμβάνει περίπου 20 εντολές, οι οποίες εμπίπτουν σε τρεις βασικές κατηγορίες: απομακρυσμένη πρόσβαση και παρακολούθηση του συστήματος, διαχείριση του συστήματος και ολική καταστροφή. Πιο συγκεκριμένα, διαθέτει:
- Καθαριστή ακατέργαστου δίσκου (Raw disk wiper): Αντικαθιστά το ακατέργαστο περιεχόμενο του δίσκου σε μεγάλα τμήματα πριν επιβάλει άμεση επανεκκίνηση του συστήματος.
- Ψεύτικο ransomware (βασισμένο στο Crucio): Μεταμφιέζεται σε ransomware αλλά αντί να απαιτεί λύτρα για την αποκρυπτογράφηση, κρυπτογραφεί τα αρχεία και στη συνέχεια «πετάει» το κλειδί κρυπτογράφησης, καθιστώντας την ανάκτηση αδύνατη.
- Ασφαλή καθαριστή μονάδας δίσκου των Windows: Στοχεύει απευθείας τη μονάδα εγκατάστασης των Windows και εκτελεί αντικαταστάσεις δεδομένων πολλαπλών περασμάτων χρησιμοποιώντας διαφορετικά μοτίβα byte.
- Λήψη και εγγραφή οθόνης: Τραβάει μεμονωμένα στιγμιότυπα οθόνης από κάθε συνδεδεμένη οθόνη και πραγματοποιεί συνεχή καταγραφή video όσο ο χρήστης είναι ενεργός.
- Τηλεχειρισμό: Μέσω ενός διακομιστή TCP (Transmission Control Protocol) μεταδίδει την επιφάνεια εργασίας και επιτρέπει την εισαγωγή δεδομένων από το πληκτρολόγιο και το ποντίκι, αφού πρώτα δημιουργήσει τις δικές του εξαιρέσεις στο Τείχος Προστασίας (Firewall) των Windows.
Το GigaWiper ρυθμίζει επίσης μια προγραμματισμένη εργασία με το όνομα “OneDrive Update”, η οποία εκτελείται κάθε λεπτό αλλά και κατά την εκκίνηση του υπολογιστή, ώστε να διατηρεί την παρουσία του στο σύστημα. Ταυτόχρονα, διαθέτει εργαλεία διαχείρισης διεργασιών και μητρώου, ώστε να μπορεί να απενεργοποιεί ή να τερματίζει υπηρεσίες των Windows και τρίτων προγραμμάτων ασφαλείας που θα προσπαθήσουν να το εξουδετερώσουν.
Επειδή το GigaWiper αναπτύσσεται αφού οι εισβολείς έχουν ήδη παραβιάσει ένα σύστημα, η καλύτερη άμυνα είναι η αποτροπή της αρχικής εισβολής και η ανίχνευση κακόβουλης δραστηριότητας πριν προλάβουν να εκτελεστούν οι καταστροφικές εντολές.
