Microsoft legt GigaWiper offen – eine modulare Windows-Backdoor zur Zerstörung

Microsoft hat eine Windows-Backdoor analysiert, die Laufwerkslöschung, irreversible Dateiverschlüsselung, Überwachung und Fernsteuerungsfunktionen in einem einzigen modularen Paket vereint. Das Unternehmen bezeichnet die auf Golang basierende Malware als GigaWiper und gibt an, dass sie seit mindestens Oktober bei Angriffen beobachtet wurde.

Bedrohungsforscher identifizierten zwei GigaWiper-Varianten in Umgebungen von Opfern. Bei einer handelt es sich um einen eigenständigen Wiper, der direkt gegen physische Laufwerke vorgeht, Rohdaten auf dem Speicher überschreibt und Partitionsinformationen löscht, bevor er einen Neustart des Computers erzwingt. Das zweite Sample enthält diese Fähigkeiten als Teil einer umfassenderen Backdoor.

Die Backdoor sorgt für Persistenz und kommuniziert über RabbitMQ unter Verwendung des Advanced Message Queuing Protocol mit ihren Betreibern. Redis wird verwendet, um den Status und die Ergebnisse von Befehlen zu aktualisieren. Die Funktionen sind in Befehlsgruppen organisiert, darunter dauerhaft ausgeführte Aufgaben, Systemverwaltungsoperationen, Shell-Ausführung und spezialisierte destruktive Aktionen.

Mehrere Wege zum Datenverlust

Zu den verfügbaren Befehlen gehört einer, der die Windows-Wiederherstellungsfunktionen deaktiviert und absichtlich einen Bluescreen auslösen kann, sodass das System nicht mehr bootfähig ist. Eine weitere Komponente, die größtenteils von der Ransomware Crucio abgeleitet ist, verschlüsselt Dateien mit zufällig generierten Schlüsseln, die nicht gespeichert werden. Dieses Design verhindert, dass Opfer die betroffenen Dateien durch Entschlüsselung wiederherstellen können.

GigaWiper umfasst außerdem eine Massenverschlüsselungs- und -entschlüsselungsfunktion mit AES-256 im Cipher-Block-Chaining-Modus sowie eine auf dem MinIO Client basierende Funktion zur Übertragung gestohlener Daten in einen entfernten Speicher. Zu den weiteren Fähigkeiten gehören die Ausführung von PowerShell, Screenshots, kontinuierliche Bildschirmaufzeichnung, das Sammeln von Systeminformationen, das Löschen von Windows-Ereignisprotokollen sowie die Fernsteuerung von Tastatur und Maus.

Microsoft erklärte, dass das Tool Elemente aus mindestens drei zuvor getrennten Malware-Familien vereint: der Ransomware Crucio, einer auf Go basierenden Implementierung von FlockWiper und einem separaten Disk Wiper. Diese Konsolidierung bietet den Betreibern sowohl Erpressungs- als auch destruktive Optionen. Das Unternehmen machte jedoch keine Angaben dazu, wie viele Organisationen betroffen waren, und nannte auch keine Angreifer.

Die Erkenntnisse zeigen, dass sich destruktive Malware über eigenständige Wiping-Tools mit nur einem Zweck hinausentwickelt. Indem Betreiber Störung, Überwachung, Datendiebstahl und irreversible Verschlüsselung in einer einzigen Backdoor bündeln, können sie nach dem Zugriff auf ein System Aktionen auswählen oder kombinieren.