Microsoft ha desvelado GigaWiper, un sofisticado backdoor destructivo para sistemas Windows, también conocido como BLUERABBIT. Este malware, atribuido a grupos vinculados a Irán y con un enfoque en organizaciones israelíes, combina funcionalidades de espionaje y aniquilación de datos. Su diseño modular le permite ser una amenaza persistente y altamente dañina, capaz de comprometer la confidencialidad y la disponibilidad de los sistemas de una empresa.
GigaWiper está escrito en Go (Golang) y opera con una serie de comandos que el atacante puede activar. Incluye tres mecanismos de destrucción principales: un limpiador de disco que sobrescribe la unidad física y la tabla de particiones antes de reiniciar, un falso ransomware basado en el código de Crucio que cifra archivos sin guardar la clave, y un limpiador que sobrescribe el disco de Windows múltiples veces, derivado de FlockWiper. Ninguno de estos métodos permite la recuperación, enfatizando la destrucción como objetivo principal. Además de su capacidad destructiva, GigaWiper es un potente spyware, capaz de realizar capturas de pantalla, grabar la actividad del monitor, abrir sesiones VNC ocultas, recolectar detalles del sistema y borrar registros de eventos para encubrir sus actividades.
Para evitar la detección, GigaWiper se disfraza de OneDrive, creando una tarea programada llamada ‘OneDrive Update’ que se ejecuta cada minuto. También oculta su canal de control y comando (C2) detrás de una regla de firewall con el nombre de un componente legítimo de Windows. Utiliza servicios empresariales comunes como RabbitMQ para tareas, Redis para resultados y MinIO para la exfiltración de datos, lo que permite que su tráfico pase desapercibido en redes que ya los utilizan. El código examinado por Microsoft reveló comandos latentes para un keylogger y limpiadores adicionales, sugiriendo que GigaWiper es una plataforma en constante desarrollo.
La detección temprana de GigaWiper es crucial y se basa en señales específicas. Los defensores deben buscar una tarea programada ‘OneDrive Update’ que se repita cada minuto, tráfico de RabbitMQ o Redis desde equipos de escritorio en lugar de servidores, y procesos que utilicen los comandos ‘takeown’ e ‘icacls’ para tomar posesión de archivos de arranque de Windows fuera de las ventanas de mantenimiento. En cuanto a las medidas técnicas, se recomienda activar la protección contra manipulaciones en los antivirus, bloquear los servidores de comando conocidos (185.182.193[.]21 y 212.8.248[.]104), configurar la detección de endpoints en modo de bloqueo y habilitar la protección entregada en la nube con remediación automática. La lista completa de hashes de archivos y nombres de detección está disponible en el informe de Microsoft GigaWiper: Anatomy of a destructive backdoor assembled from multiple malware.
Qué significa para tu empresa: La amenaza de GigaWiper subraya la importancia de una estrategia de ciberseguridad robusta y multicapa. Dado que este malware opera después de una intrusión inicial y tiene la capacidad tanto de espiar como de destruir, la detección temprana es fundamental. Esto se logra mediante un SOC con monitoreo 24/7 y la implementación de una protección de endpoints EDR/XDR que identifique comportamientos anómalos. Además, la capacidad de destrucción de GigaWiper, que no permite la recuperación, hace que la continuidad de negocio (respaldo con copias inmutables, DRP, BaaS/DRaaS) sea una defensa crítica para asegurar que, incluso frente al escenario más devastador, su empresa pueda recuperar sus operaciones y datos sin interrupciones prolongadas.
Fuente original: The Hacker News — ver artículo →