GigaWiper: backdoor Windows kết hợp xóa ổ đĩa, giả ransomware và giám sát từ xa
"Microsoft reported a destructive Windows backdoor called GigaWiper that combines disk wiping, fake ransomware behavior, and spyware-like remote access functions. The malware is written in Go, has no associated CVE because it is not a vulnerability, and defenders are advised to rely on detection, tamper protection, blocking known command servers, and offline backups rather than patching."
Tác động nghiêm trọng vì GigaWiper có thể vừa phá hủy dữ liệu vừa giám sát/điều khiển từ xa. Các điểm then chốt gồm xóa ổ đĩa/ghi đè, giả ransomware không có khóa giải mã, và khả năng VNC ẩn + xóa event logs.
Rủi ro gián đoạn vận hành cao do mất khả năng khôi phục nếu không có bản sao lưu phù hợp; đồng thời tăng chi phí điều tra do backdoor có che giấu dấu vết và có thể gây ảnh hưởng trên nhiều máy. Điểm cần ưu tiên là offline backups, EDR block mode, và chặn command server.
Microsoft vừa phân tích một backdoor Windows gây phá hoại có tên GigaWiper. Điểm đáng chú ý là mã độc không phải một công cụ đơn lẻ mà là sự ghép nhiều thành phần phá hoại cũ thành một “nền tảng” điều khiển theo lệnh. Vì đây là mã độc hậu xâm nhập chứ không phải một lỗi đơn lẻ, không có CVE để vá; trọng tâm phòng thủ là phát hiện sớm và khôi phục từ bản sao lưu.
GigaWiper có thể thực hiện xóa ổ đĩa bằng cách ghi đè trực tiếp và xóa bảng phân vùng; chạy giả ransomware dựa trên mã Crucio (mã hóa tệp, đổi phần mở rộng, thay hình nền nhưng không có cơ chế lưu khóa để giải mã); hoặc ghi đè nhiều lần lên ổ Windows, được Microsoft mô tả là bản viết lại từ FlockWiper.
Ngoài phá hoại, backdoor còn giám sát: chụp màn hình, ghi lại khi người dùng thao tác, mở phiên VNC ẩn để điều khiển chuột/phím, thu thập thông tin hệ thống, chỉnh sửa registry và có thể xóa Windows event logs. Mã độc còn giả dạng OneDrive bằng tác vụ định kỳ và ẩn kênh điều khiển sau quy tắc firewall.
Khuyến nghị: bật tamper protection, chạy EDR ở chế độ chặn, chặn các command server đã nêu (185.182.193[.]21 và 212.8.248[.]104), rà soát dấu hiệu như tác vụ “OneDrive Update”, lưu lượng RabbitMQ/Redis bất thường từ máy trạm và hành vi dùng takeown/ icacls lên tệp khởi động. Ưu tiên offline backups để khôi phục khi ổ bị ghi đè.