Auf den Punkt: GigaWiper ist eine modular einsetzbare Backdoor mit Spionage- und Datenzerstörungsfunktionen, die legitime Unternehmens-Protokolle zur Kommunikation mit Kontrollservern missbraucht und deshalb in typischen Firmenumgebungen schwer zu erkennen ist.
Microsoft und Binary Defense warnen vor der in Go geschriebenen Windows-Backdoor GigaWiper (auch BLUERABBIT genannt), die Spionagefunktionen mit drei unterschiedlichen Datenlösch-Mechanismen verbindet und sich im Netzwerk durch Imitation des OneDrive-Dienstes tarnt.
GigaWiper vereint drei unterschiedliche Zerstörungsmechanismen in einer Plattform, die der Angreifer je nach Ziel auswählen kann. Die erste Funktion überschreibt die physische Festplatte und löscht die Partitionstabelle vollständig, was eine Datenwiederherstellung verhindert. Die zweite Komponente basiert auf älterem Schadcode namens Crucio und agiert als Schein-Ransomware: Sie verschlüsselt Daten mit der Endung .candy, speichert aber absichtlich keinen Entschlüsselungsschlüssel, wodurch eine Datenrettung unmöglich ist. Die dritte Funktion überschreibt gezielt das Windows-Systemlaufwerk mehrfach mit wechselnden Datenmustern.
Neben den destruktiven Komponenten verfügt die Backdoor über ausgedehnte Spionagewerkzeuge: Das Programm zeichnet kontinuierlich Bildschirminhalte auf, erstellt Screenshots und öffnet eine verdeckte VNC-Sitzung für direkten Fernzugriff. Zudem sammelt die Software Systemdaten, manipuliert die Registrierungsdatenbank und löscht Windows-Ereignisprotokolle, um eigene Spuren zu verwischen.
Die Tarnung im Netzwerk erfolgt durch Imitation des OneDrive-Dienstes mit einer minütlich ausgeführten Aufgabe namens „OneDrive Update“ im Aufgabenplaner. Für den Datenaustausch mit Steuerungsservern nutzt das Programm legitime Unternehmens-Protokolle: RabbitMQ für Aufgabenvergabe, Redis für Ergebnisse und MinIO für Datenabfluss. Dadurch hebt sich der bösartige Netzwerkverkehr in Firmenumgebungen, die diese Werkzeuge regulär einsetzen, kaum ab.
Sicherheitsanalysten führen GigaWiper auf eine Gruppierung mit Bezug zum Iran zurück, die primär israelische Organisationen angreift. Teile des Codes weisen funktionale Verbindungen zu CyberAv3ngers auf, die in der Vergangenheit für Angriffe auf industrielle Kontrollsysteme in der Energie- und Wasserversorgung verantwortlich war. Da die Backdoor erst nach einem erfolgreichen Netzwerkeinbruch ausgeführt wird, existiert kein Software-Patch zur Abwehr. Zur Früherkennung dienen folgende Indikatoren: eine minütlich ausgeführte Aufgabe namens „OneDrive Update“, unerwarteter Datenverkehr über RabbitMQ oder Redis von normalen Arbeitsplatzrechnern anstelle von Servern, sowie Prozesse, die außerhalb regulärer Wartungsfenster Rechte an Windows-Startdateien wie bootmgr oder ntoskrnl.exe übernehmen.
Quelle: www.it-daily.net · Erschienen 12. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.