Zespół Microsoft Threat Intelligence analizował kampanię cyberprzestępczą, w której wykorzystywane jest oprogramowanie GigaWiper. Malware należy do kategorii wiperów – narzędzi służących do bezpowrotnego usuwania danych poprzez nadpisywanie dysków losowymi bajtami i szyfowanie informacji kluczem, który nie jest nigdzie przechowywany.

Wyjątkowa struktura GigaWipera polega na tym, że stanowi on zlepek różnych wariantów złośliwego oprogramowania z wcześniejszych kampanii, w tym elementów HermeticWipera, CaddyWipera i ransomware'u BlackCat. Po zainfekowaniu systemu malware skanuje dyski, usuwa ich metadane partycji i rozpoczyna procedurę wymazywania. Pozostawia niezatknięty dysk systemowy, co teoretycznie umożliwia odtworzenie danych poprzez przywrócenie partycji lub podłączenie nośnika do innego komputera.

Oprócz funkcji wipera GigaWiper zawiera cechy backdoora – pozwala atakującym na stały, zdalny dostęp do systemu. Podszywając się pod aplikację OneDrive, malware uruchamia się co minutę i oczekuje na komendy z serwera C2 przez protokoły RabbitMQ i Redis. Analitycy zidentyfikowali 20 unikalnych poleceń, umożliwiających m.in. szyfrowanie danych, rejestrowanie uderzeń klawiatury, nagrywanie ekranu i zdalne sterowanie systemem.

Microsoft rekomenduje włączenie funkcji Tamper Protection, wdrożenie systemów EDR oraz monitoring Harmonogramu zadań i rejestru systemu w celu obrony przed tego typu zagrożeniami.

Źródło: Sekurak