GigaWiper: backdoor Windows mã hóa tệp và xóa dữ liệu theo mô-đun
"Microsoft reported a newly identified destructive Windows backdoor called GigaWiper that combines multiple malware families into a single modular tool. The Golang-based malware includes disk-wiping, ransomware-like file encryption with unrecoverable keys, persistence, C2 communication, screen capture, log clearing, and remote control features; Microsoft said it merges functionality from at least three families, including Crucio ransomware, a Go reimplementation of FlockWiper, and a standalone disk wiper."
Tác động nghiêm trọng do khả năng xóa dữ liệu mức đĩa và mã hóa tệp không thể giải mã; ngoài ra còn có thể vô hiệu Windows recovery và điều khiển từ xa để duy trì kiểm soát.
Nguy cơ gián đoạn vận hành cao vì có thể làm thiết bị không khởi động được và phá hủy dữ liệu; tuy nhiên mức độ ảnh hưởng thực tế phụ thuộc vào phạm vi triển khai mà Microsoft chưa công bố chi tiết.
Microsoft cho biết đã phát hiện GigaWiper, một backdoor Windows mang tính phá hoại, kết hợp mã hóa kiểu ransomware với nhiều lệnh xóa dữ liệu (wiper) trong cùng một gói mô-đun. Nhóm threat-hunting của Microsoft lần đầu quan sát hoạt động sử dụng implant này vào tháng 10 năm trước.
Theo phân tích, GigaWiper được viết bằng Golang và tồn tại dưới ít nhất hai dạng mẫu thực thi. Dạng thứ nhất là wiper mức đĩa: ghi đè nội dung thô của ổ cứng, xóa siêu dữ liệu phân vùng, sau đó khởi động lại hệ thống bằng cơ chế tắt máy của Windows với thời gian trễ bằng 0. Dạng thứ hai tích hợp thêm các thành phần khác, bao gồm thiết lập persistence, giao tiếp C2 và điều phối lệnh.
Về hạ tầng điều khiển, malware dùng RabbitMQ qua AMQP để nhận lệnh từ C2 và dùng Redis để cập nhật trạng thái/lưu đầu ra lệnh. Các lệnh được phân nhóm như “always run” (ví dụ ghi màn hình liên tục), chế độ quản trị hệ thống, và các chế độ thực thi đặc biệt. Một số lệnh có thể vô hiệu Windows recovery, kích hoạt BSOD, hoặc khiến thiết bị không thể khởi động.
Microsoft cũng mô tả thành phần mã hóa tệp dựa trên Crucio ransomware: tạo khóa ngẫu nhiên nhưng không lưu khóa, khiến việc giải mã không khả thi. Ngoài ra, malware có thể chạy PowerShell, chụp ảnh/quay màn hình, thu thập thông tin hệ thống, xóa Windows event logs, và hỗ trợ điều khiển từ xa.
Khuyến nghị: rà soát dấu hiệu xâm nhập trên máy Windows (đặc biệt hành vi ghi đè đĩa, xóa log, vô hiệu recovery), tăng cường giám sát lưu lượng đến RabbitMQ/AMQP và Redis, đồng thời chuẩn hóa quy trình cô lập và khôi phục từ bản sao lưu tin cậy.