Microsoft détaille GigaWiper, une porte dérobée modulaire pour Windows conçue pour la destruction

Microsoft a analysé une porte dérobée pour Windows qui combine l’effacement des disques, le chiffrement irréversible des fichiers, la surveillance et des fonctions de contrôle à distance au sein d’un même module. L’entreprise appelle ce malware basé sur Golang GigaWiper et indique qu’il a été observé dans des attaques depuis au moins octobre.

Les chercheurs en sécurité ont identifié deux variantes de GigaWiper dans les environnements de victimes. La première est un wiper autonome qui agit directement sur les disques physiques, écrasant les données du stockage brut et supprimant les informations de partition avant de forcer le redémarrage de l’ordinateur. Le second échantillon intègre ces fonctionnalités dans le cadre d’une porte dérobée plus vaste.

La porte dérobée assure sa persistance et communique avec ses opérateurs via RabbitMQ, au moyen de l’Advanced Message Queuing Protocol. Redis est utilisé pour mettre à jour l’état et les résultats des commandes. Ses fonctions sont organisées en groupes de commandes, notamment des tâches exécutées en continu, des opérations de gestion du système, l’exécution de commandes shell et des actions destructrices spécialisées.

Plusieurs voies vers la perte de données

Parmi les commandes disponibles, l’une désactive les fonctions de récupération de Windows et peut provoquer délibérément un écran bleu, empêchant le système de démarrer. Un autre composant, largement dérivé du ransomware Crucio, chiffre les fichiers avec des clés générées aléatoirement qui ne sont pas conservées. Cette conception empêche les victimes de récupérer les fichiers concernés par déchiffrement.

GigaWiper comprend également des fonctions de chiffrement et de déchiffrement en masse utilisant AES-256 en mode Cipher Block Chaining, ainsi qu’une fonction fondée sur le client MinIO permettant de transférer les données volées vers un stockage distant. Parmi les autres fonctionnalités figurent l’exécution de PowerShell, la capture d’écran, l’enregistrement vidéo continu de l’écran, la collecte d’informations système, l’effacement des journaux d’événements Windows et le contrôle à distance du clavier et de la souris.

Microsoft indique que l’outil réunit des éléments provenant d’au moins trois familles de malwares auparavant distinctes : le ransomware Crucio, une implémentation de FlockWiper en Go et un wiper de disque distinct. Cette consolidation offre aux opérateurs des options à la fois de type extorsion et destructrices, même si l’entreprise n’a pas précisé combien d’organisations avaient été touchées ni identifié les attaquants.

Ces conclusions montrent que les malwares destructeurs évoluent au-delà des outils d’effacement à usage unique. En regroupant la perturbation, la surveillance, le vol de données et le chiffrement irréversible au sein d’une même porte dérobée, les opérateurs peuvent sélectionner ou combiner leurs actions après avoir obtenu l’accès à un système.