Auf den Punkt: GigaWiper vereinigt drei bekannte Malware-Familien (Crucio, FlockWiper) in einem modularen Backdoor mit 20 Befehlen, um Daten zu löschen oder zu verschlüsseln, nachdem Aufklärungsziele erreicht wurden.
Microsoft Threat Intelligence hat die Go-basierte Malware GigaWiper analysiert, die seit Oktober 2025 in Angriffen beobachtet wird und Fernzugriff mit mehreren Disk-Wiping- und Ransomware-Routinen kombiniert.
GigaWiper wird als Hybrid zwischen Spionage-Malware und Wiper klassifiziert. Die Betreiber haben die Malware aus Komponenten mehrerer bestehender Malware-Familien zusammengesetzt und diese als modulare Befehle in einen einzigen Backdoor eingebettet. Dies unterscheidet sich vom klassischen Design von Wiper-Malware, die ausschließlich zur Zerstörung konzipiert ist.
Die Go-basierte Malware unterstützt 20 Befehle, darunter PowerShell-Ausführung, Windows-Service- und Prozessverwaltung, Registrierungsmanipulation, Screenshots und Bildschirmaufnahmen, Event-Log-Löschung sowie VNC-ähnliche Fernsteuerung. Persistenz wird durch eine getarnte geplante Aufgabe als „OneDrive Update“ etabliert. Die Kommando- und Kontrollarchitektur nutzt RabbitMQ für Befehle und Redis für die Rückgabe von Ausgaben, was diskrete Netzwerkkommunikation ermöglicht.
Microsoft hat GigaWiper mit mindestens zwei bekannten Malware-Familien verknüpft: Crucio, von dem die Datei-Verschlüsselungslogik (Befehl 3) stammt, und FlockWiper, dessen Mehrpass-Wischfunktion in Go neu implementiert wurde (Befehl 12). Ein weiterer Befehl führt rohes physisches Festplattenlöschen durch, wobei Laufwerke überschrieben und Partitionsmetadaten entfernt werden. Die Crucio-Integration nutzt zufällig generierte Schlüssel, die nie gespeichert werden und eine Wiederherstellung unmöglich machen.
Für die Verteidigung empfiehlt Microsoft die Aktivierung von EDR-Lösungen und Behavioral-Detection, Endpoint-Härtung, die Nutzung von Attack-Surface-Reduction-Controls und die Wartung offline gesicherter oder anderweitig resilienter Backups. Microsoft hat Indicators of Compromise (IOCs) einschließlich Datei-Hashes und C2-IP-Adressen veröffentlicht.
Quelle: www.csoonline.com · Erschienen 10. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.