Microsoft descrive GigaWiper, una backdoor modulare per Windows progettata per la distruzione

Microsoft ha analizzato una backdoor per Windows che combina la cancellazione dei dischi, la crittografia irreversibile dei file, la sorveglianza e le funzionalità di controllo remoto in un unico pacchetto modulare. L’azienda chiama il malware basato su Golang GigaWiper e afferma di averlo osservato in attacchi almeno da ottobre.

I ricercatori specializzati in minacce hanno identificato due varianti di GigaWiper negli ambienti delle vittime. Una è un wiper autonomo che agisce direttamente sui dischi fisici, sovrascrivendo i dati dello storage grezzo ed eliminando le informazioni sulle partizioni prima di forzare il riavvio del computer. Il secondo campione include queste funzionalità come parte di una backdoor più ampia.

La backdoor stabilisce la persistenza e comunica con i suoi operatori tramite RabbitMQ, utilizzando l’Advanced Message Queuing Protocol. Redis viene usato per aggiornare lo stato e i risultati dei comandi. Le sue funzioni sono organizzate in gruppi di comandi, tra cui attività eseguite continuamente, operazioni di gestione del sistema, esecuzione di shell e azioni distruttive specializzate.

Molteplici percorsi verso la perdita dei dati

Tra i comandi disponibili ce n’è uno che disabilita le funzionalità di ripristino di Windows e può provocare deliberatamente una schermata blu, lasciando il sistema impossibilitato ad avviarsi. Un altro componente, derivato in larga parte dal ransomware Crucio, crittografa i file con chiavi generate casualmente che non vengono conservate. Questo design impedisce alle vittime di recuperare i file interessati tramite la decrittografia.

GigaWiper include inoltre la crittografia e la decrittografia di massa tramite AES-256 in modalità Cipher Block Chaining, oltre a una funzione basata su MinIO Client per trasferire i dati sottratti verso uno storage remoto. Le funzionalità aggiuntive comprendono l’esecuzione di PowerShell, l’acquisizione di schermate, la registrazione continua dello schermo, la raccolta di informazioni sul sistema, la cancellazione dei log degli eventi di Windows e il controllo remoto di tastiera e mouse.

Microsoft ha dichiarato che lo strumento riunisce elementi di almeno tre famiglie di malware precedentemente distinte: il ransomware Crucio, un’implementazione di FlockWiper basata su Go e un wiper per dischi separato. Questa integrazione offre agli operatori opzioni sia di tipo estorsivo sia distruttivo, sebbene l’azienda non abbia rivelato quante organizzazioni siano state colpite né abbia identificato gli aggressori.

Le conclusioni indicano che il malware distruttivo si sta evolvendo oltre gli strumenti di cancellazione progettati per un unico scopo. Integrando in un’unica backdoor l’interruzione delle operazioni, la sorveglianza, il furto di dati e la crittografia irreversibile, gli operatori possono selezionare o combinare le azioni dopo aver ottenuto l’accesso a un sistema.