GigaWiper: backdoor, który szpieguje i niszczy Windows

GigaWiper nie jest kolejnym ransomware, które po zaszyfrowaniu plików rozpoczyna negocjacje. To napisany w Go backdoor dla Windows, który pozwala operatorowi długo kontrolować system, obserwować użytkownika, przenosić dane i dopiero w wybranym momencie uruchomić jeden z kilku mechanizmów destrukcji. Najgroźniejszy scenariusz może wyglądać jak wymuszenie okupu, chociaż klucz szyfrujący nie zostaje zapisany, a odzyskanie danych przez zapłatę nie jest możliwe.

Microsoft Threat Intelligence opublikował analizę GigaWiper 9 lipca 2026 roku. Badacze zaczęli obserwować destrukcyjną aktywność już w październiku 2025 roku. Google Threat Intelligence Group i Binary Defense śledzą te same próbki jako BLUERABBIT. Microsoft nie przypisał opisanej kampanii w tym raporcie do konkretnego państwa ani nazwanej grupy, dlatego podobieństwo kodu nie powinno być zamieniane w pewną atrybucję polityczną.

GigaWiper w skrócie

Cecha	Potwierdzona funkcja
platforma	Windows, pliki PE napisane w Golang
charakter	modułowy backdoor z destrukcją uruchamianą na żądanie
C2	RabbitMQ przez AMQP do poleceń oraz Redis do statusu i wyników
trwałość	klucz rejestru podszywający się pod OneDrive i zadanie OneDrive Update
obserwacja	zrzuty ekranu, nagrywanie obrazu, zdalna kontrola podobna do VNC
administracja	powłoka PowerShell, procesy, usługi, rejestr i rozpoznanie hosta
destrukcja	surowe nadpisywanie dysków, fałszywe ransomware i wieloprzebiegowe czyszczenie dysku Windows
utrudnianie analizy	kasowanie dzienników Windows i reguły zapory udające komponent systemowy

To rozróżnienie ma znaczenie operacyjne: GigaWiper nie ma numeru CVE i nie istnieje pojedynczy patch, który „naprawia GigaWiper”. Implant pojawia się po uzyskaniu przez napastnika możliwości wykonania kodu. Obrona musi więc objąć drogę wejścia, poświadczenia, punkt końcowy, ruch C2, uprawnienia administracyjne, kopie zapasowe i odtwarzanie.

Dlaczego „wiper wewnątrz backdoora” zmienia model ryzyka

Klasyczny wiper często wykonuje krótką, jednoznaczną misję: niszczy dane i kończy działanie. GigaWiper łączy tę funkcję z platformą zdalnego dostępu. Operator może najpierw wykonać rozpoznanie, przeglądać procesy i usługi, uruchamiać polecenia, obserwować ekrany, pobierać lub wysyłać pliki, a destrukcję zachować jako końcowy etap operacji.

Oznacza to, że pierwszy alarm nie musi dotyczyć masowego zapisu na dysku. Wcześniejsze sygnały mogą przypominać zwykły backdoor: nietypowa trwałość, połączenie AMQP, proces potomny PowerShell, tworzenie reguły zapory, manipulowanie usługą albo nagrywanie ekranu. Organizacja, która wykrywa wyłącznie wzorzec szyfrowania tysięcy plików, może zareagować dopiero wtedy, gdy odzyskanie hosta jest już jedyną opcją.

GigaWiper pokazuje też, dlaczego program ochrony nie może kończyć się na antywirusie. Potrzebna jest korelacja zachowań opisana szerzej w naszym poradniku SIEM, XDR i EDR — różnice w praktyce, wraz z gotowym procesem eskalacji.

Trzy odrębne ścieżki destrukcji

1. Surowe nadpisywanie fizycznych dysków

Samodzielny wiper oraz polecenie numer 1 w backdoorze enumerują dyski przez WMI, identyfikują nośnik z instalacją Windows i operują na urządzeniach fizycznych. Kod usuwa odniesienia do partycji na pozostałych dyskach, nadpisuje surową zawartość w blokach, a następnie wymusza restart. To nie jest zwykłe usuwanie plików, które można cofnąć z kosza lub naprawić przez przywrócenie kilku katalogów.

2. Destrukcja udająca ransomware

Polecenie numer 3 wywodzi się z kodu Crucio. Pliki są szyfrowane AES-CBC i otrzymują rozszerzenie .candy, lecz losowo wygenerowane klucz oraz wektor inicjalizujący nie są nigdzie zapisywane. Nie pojawia się też prawdziwy proces negocjacji ani mechanizm odzyskiwania. Microsoft określa tę funkcję jako wiper przebrany za ransomware.

To ważna wskazówka dla zespołu kryzysowego: ekran przypominający ransomware nie dowodzi, że istnieje deszyfrator. Decyzji o płatności nie wolno opierać na wyglądzie pulpitu. Najpierw należy ustalić rodzinę malware, zachować próbkę, potwierdzić mechanizm kryptograficzny i ocenić kopie. Podstawy przygotowania opisujemy w materiale jak bronić firmę przed ransomware.

3. Wieloprzebiegowe czyszczenie dysku systemowego

Polecenie numer 12, nazwane WipeCMain, implementuje logikę podobną do FlockWiper przepisaną z C do Go. Celuje w dysk z Windows i wykonuje kolejne przebiegi nadpisywania zerami, wartością 0xFF oraz danymi losowymi. Z punktu widzenia operacji bezpieczeństwa wszystkie trzy ścieżki prowadzą do podobnej konkluzji: priorytetem jest powstrzymanie polecenia przed wykonaniem, a plan awaryjny musi zakładać odbudowę z zaufanego źródła.

Backdoor ma dwadzieścia kodów poleceń

Microsoft zmapował kody od 1 do 20. Nie każdy jest zaimplementowany, lecz zestaw potwierdza szeroki zakres kontroli:

• polecenie 7 uruchamia powłokę PowerShell i utrzymuje katalog roboczy między zadaniami;
• polecenie 9 wykonuje zrzut każdego aktywnego monitora;
• polecenie 10 nagrywa ekran, gdy użytkownik jest aktywny i sesja odblokowana;
• komunikaty wokół polecenia 11 wskazują planowaną funkcję keyloggera, ale Microsoft nie widział zapełnionej struktury wykonawczej;
• polecenia 15–18 zbierają dane hosta oraz zarządzają procesami, usługami i rejestrem;
• polecenie 19 czyści dzienniki System, Setup, Application i ForwardedEvents, a następnie próbuje usunąć Security;
• polecenie 20 uruchamia zdalne sterowanie ekranem, myszą i klawiaturą w stylu VNC.

W analizie trzeba zachować precyzję. Napis w logu sugerujący keylogger nie jest równoważny z obserwacją działającego modułu. Z drugiej strony brak potwierdzonej funkcji keyloggera nie zmniejsza powagi przejęcia, skoro operator może nagrywać ekran, uruchamiać polecenia i sterować sesją.

Trwałość oraz komunikacja C2

GigaWiper tworzy klucz HKCU\SOFTWARE\OneDrive\Environment, którego używa do śledzenia liczby uruchomień. Następnie zakłada zadanie harmonogramu OneDrive Update, skonfigurowane do wykonania przy starcie oraz mniej więcej co minutę. Nazwy mają wtopić się w środowisko Windows, ale nie są legalnym dowodem działania OneDrive.

Polecenia przychodzą przez RabbitMQ/AMQP, a Redis przenosi wyniki i status. Implant używa exchange typu fanout nazwanej All, która pozwala rozgłaszać zadanie do wielu klientów, oraz exchange Topic dla celowanego routingu. To daje zespołowi sieciowemu stabilniejsze hipotezy niż polowanie wyłącznie na nazwę pliku: niespodziewany AMQP z sieci użytkowników, Redis do Internetu i połączenia na rzadkie porty powinny mieć właściciela oraz uzasadnienie biznesowe.

Blokada pojedynczego adresu IP jest konieczna po wykryciu, ale niewystarczająca. Infrastruktura C2 może się zmienić, a istniejący implant może przyjąć nową konfigurację. Dojrzały proces cyber threat intelligence łączy IOC z zachowaniem hosta, DNS, proxy, tożsamością i kontekstem czasu.

IOC opublikowane przez Microsoft

Poniższe wartości służą do defensywnego wyszukiwania. Adresy IP są celowo zapisane w formie rozbrojonej, aby nie tworzyć aktywnych odsyłaczy.

Typ	Wartość	Opis
SHA-256	633d4cbd496b1094495da89a64f5e6c31a0f6d4d1488411db5b0cba1cfe42001	GigaWiper backdoor
SHA-256	ce9ad5f6c12019f4aae5b189bd8ddf5bb09e75b06a0a587b25a855c65948c913	GigaWiper backdoor
SHA-256	f622ed85ef31ad4ab973f4e74524866fe1bb44f0965ad2b2ad796cd657a05bfd	GigaWiper backdoor
SHA-256	9706a192e2c1a1faaf0a521daf31c2af60ff4590e3f47bbb4abc227f42af0683	GigaWiper backdoor
SHA-256	3c30deb6556a94cfb84ae51798f4aecfae8c7358e55fdb321c5f2376579631cd	samodzielny GigaWiper
SHA-256	440b5385d3838e3f6bc21220caa83b65cd5f3618daea676f271c3671650ce9a3	Crucio
SHA-256	12c39f052f030a77c0cd531df86ad3477f46d1287b8b98b625d1dcf89385d721	FlockWiper
SHA-256	db41e0da7ab3305be8d9720769c6950b4dc1c1984ef857d3310eb873a0fc7674	FlockWiper
IPv4	185.182.193[.]21	zaobserwowane C2
IPv4	212.8.248[.]104	zaobserwowane C2

Nie kwarantannuj hosta tylko dlatego, że nazwa zadania zawiera OneDrive. Zweryfikuj ścieżkę wykonywalną, autora, akcję, podpis pliku, proces rodzicielski i powiązaną telemetrię. Podobnie brak tych hashy nie wyklucza wariantu przebudowanego przez operatora.

Hipotezy detekcyjne dla SOC

Zespół może zamienić raport na warstwowe analizy:

1. nowe zadanie OneDrive Update uruchamiane co minutę, szczególnie wskazujące na niepodpisany plik poza katalogami Microsoft;
2. utworzenie lub modyfikacja wskazanego klucza rejestru w kontekście procesu innego niż legalny OneDrive;
3. ruch AMQP lub Redis z endpointów, na których nie ma zatwierdzonego klienta kolejkowego;
4. wevtutil czyszczący kilka kanałów logów, próba usunięcia Security.evtx albo nagła luka w forwardingu;
5. proces Go lub nieznany PE uruchamiający PowerShell, WMI, zarządzanie usługami i zmianę reguł zapory;
6. masowe tworzenie plików .candy, nagły wzrost entropii i usuwanie oryginałów;
7. zapis do urządzeń PHYSICALDRIVE, zmiany metadanych partycji lub próba wyłączenia odzyskiwania Windows;
8. nagrywanie ekranu do C:\ProgramData\output oraz nietypowy serwer nasłuchujący po zmianie zapory.

Reguły powinny korelować kilka sygnałów, a nie alarmować na każde użycie WMI czy PowerShell. Testuj je na danych historycznych, mierz fałszywe alarmy i przechowuj pełne zdarzenia. Proces tworzenia takich reguł opisuje detection engineering z Sigma i SIEM.

Co zrobić po trafieniu IOC

Sam komunikat „plik usunięty” nie zamyka incydentu. GigaWiper jest backdoorem, więc pozytywne trafienie oznacza możliwość wcześniejszego dostępu interaktywnego.

Pierwsze 30 minut

• odizoluj host przez EDR lub kontrolę sieci, nie wyłączając go automatycznie;
• zablokuj znane C2 na DNS, proxy, zaporze i egressie;
• zachowaj pamięć, listę połączeń, procesy, zadania, rejestr, reguły zapory i dzienniki zewnętrzne;
• sprawdź, czy podobne zdarzenia występują na innych urządzeniach;
• uruchom ścieżkę kryzysową z właścicielem biznesowym i zespołem ciągłości działania.

Pierwsze cztery godziny

Ustal konto oraz proces, który uruchomił implant, drogę początkowego dostępu, czas pierwszego zdarzenia i zasięg danych dostępnych z hosta. Sprawdź użyte poświadczenia, sesje administratorów, zdalne narzędzia, deployment software i możliwość bocznego ruchu. Jeżeli GigaWiper dotarł przez uprzywilejowany system zarządzania, izolacja jednego laptopa nie wystarczy.

Rotację poświadczeń wykonuj w kontrolowanej kolejności po zabezpieczeniu dowodów i zamknięciu drogi wejścia. Szczegółowy podział ról zawiera scenariusz ćwiczenia tabletop reagowania na incydenty oraz aktualny NIST SP 800-61 Rev. 3.

Jak ograniczyć ryzyko przed pojawieniem się alertu

Microsoft zaleca ochronę przed manipulacją ustawieniami bezpieczeństwa, zablokowanie bezpośredniego dostępu do znanego C2, ochronę dostarczaną z chmury, EDR w trybie blokowania oraz automatyczne dochodzenie i naprawę. W środowisku Microsoft szczegóły opisuje dokumentacja tamper protection.

Do tego dołóż kontrole niezależne od jednego producenta:

• ogranicz egress z endpointów do wymaganych protokołów i proxy;
• chroń system zarządzania endpointami silnym MFA, PAM i odrębnymi stacjami administracyjnymi;
• uniemożliw lokalnym administratorom samodzielne dodawanie wyjątków AV;
• wysyłaj logi poza host, aby polecenie 19 nie usunęło jedynej kopii dowodów;
• segmentuj stacje, serwery, backup i warstwę zarządzania;
• regularnie testuj przywracanie całej usługi, a nie tylko odczyt pojedynczego pliku.

Backup odporny na wiper

Kopia dostępna z tego samego konta administracyjnego i widoczna jako zwykły udział może zostać usunięta przed uruchomieniem wipera. Strategia musi zawierać izolowaną lub offline kopię, niezmienność, odrębne poświadczenia, monitoring prób kasowania oraz przećwiczone cele RPO i RTO. Praktyczny model opisujemy w poradniku kopie zapasowe 3-2-1, a CISA #StopRansomware Guide dostarcza dodatkowych zaleceń odporności i reagowania.

Test odtworzenia powinien zakładać utratę Active Directory, systemu zarządzania, repozytorium pakietów i części sieci jednocześnie. Mierz czas od decyzji o odbudowie do przywrócenia zweryfikowanej usługi. Sukces pojedynczego restore sprzed pół roku nie dowodzi, że dzisiejsze obrazy, klucze i zależności nadal działają.

Kryteria zamknięcia incydentu

Incydent można zamknąć dopiero, gdy zespół potrafi wykazać:

• usunięcie mechanizmu trwałości i wszystkich powiązanych implantów;
• identyfikację oraz zamknięcie początkowej drogi dostępu;
• przegląd okresu ekspozycji na endpointach, tożsamości i w sieci;
• bezpieczną rotację poświadczeń oraz tokenów dostępnych napastnikowi;
• odbudowę podejrzanych systemów ze znanego, zaufanego źródła;
• zachowanie IOC i detekcji behawioralnych w ciągłym monitoringu;
• potwierdzony test odtworzenia najważniejszych usług;
• udokumentowanie braków telemetrii i zaakceptowanie resztkowej niepewności.

GigaWiper jest ostrzeżeniem przed etapem poprzedzającym destrukcję. Organizacja wygrywa nie wtedy, gdy rozpozna tapetę po zaszyfrowaniu, lecz gdy wykryje zdalną kontrolę, nietypową trwałość i C2, zanim operator wybierze polecenie niszczące.

Chcesz sprawdzić, czy monitoring i kopie przetrwają scenariusz GigaWiper? Umów techniczny audyt BreachRoad — zweryfikujemy telemetrię endpointów, egress, uprawnienia administratorów, segmentację, playbook SOC i realny proces odtwarzania bez uruchamiania destrukcyjnego kodu.