GigaWiper 结合多种恶意软件进行系统级破坏

Microsoft报道称，八个多月来，一名威胁行为者一直在使用具有多种系统级破坏能力的破坏性后门和清除器。

后门的破坏性功能包括独立的擦除器、勒索软件加密和多次擦除命令。

这款名为GigaWiper的恶意软件，是一种基于Go的复杂后门，包含多个恶意软件家族和强大的命令控制（C&C）能力。

据Microsoft称，GigaWiper中的恶意软件以按需后门命令的形式折叠，允许攻击者执行独立的擦除器、类似勒索软件的加密命令，以及执行多次擦除的擦除命令。

Microsoft指出：“将多种破坏性能力整合到模块化后门中，反映了擦除恶意软件的显著转变，后者通常仅仅设计来摧毁而非勒索并带来现实世界的后果。”

GigaWiper 首次于2025年10月被观察到，它包含一个在物理磁盘层面工作的擦拭器。它通过 Windows 管理仪器（WMI）枚举驱动器以识别 Windows 分区，删除非 Windows 驱动器的分区引用，清除每个驱动器，然后重启系统。

GigaWiper 的后门组件也包含相同的擦除功能，包括相同的代码流和功能名称。此外，它还通过RabbitMQ和Redis建立了持久性和C&C通信。

根据收到的命令，它可以执行擦除、触发蓝屏死机（BSOD）、使用 MinIO 客户端向远程服务器上传文件、运行可执行文件、运行 PowerShell 命令、截图、录制屏幕、收集系统信息，并调用命令清除 Windows 安装。

后门还支持两个文件加密命令：一个是破坏性的，因为它使用随机的加密密钥，这些密钥从未被保存;另一个则针对批量文件进行加密和解密。

此外，GigaWiper 还能运行各种进程、注册表、RabbitMQ 路由和服务的管理器，清除 Windows 日志，并能启动服务器，为攻击者提供对感染系统远程控制的能力。

后门实现的抹除命令来自威胁行为者之前使用的多个较旧恶意软件，这些恶意软件被缝合在一起，并增加了后门功能。

GigaWiper 似乎由 Crucio 勒索软件开发者基于加密代码开发，但也显示出与 2025 年 6 月出现的 FlockWiper 的关联，后者共享相同的清除功能，并被移植到 Go 平台。

"GigaWiper是一个后门，具备强大的操作能力，使威胁行为者能够控制被感染的系统，执行命令，部署额外工具，最终按需触发多个破坏性命令之一。它使威胁行为者能够灵活运作，既能进行静默的间谍活动，也能实现破坏性的清除行动。"Microsoft指出。