Novo malware destrutivo para Windows apaga dados, bloqueia recuperação e funciona como backdoor sob demanda
A Microsoft identificou uma nova ameaça altamente destrutiva direcionada a sistemas Windows, capaz de combinar, em um único pacote, funções de backdoor, múltiplos mecanismos de destruição de dados e rotinas semelhantes às de ransomware. A família recebeu o nome de GigaWiper pela equipe de inteligência de ameaças da empresa e vem sendo monitorada desde ataques observados em outubro do ano passado.
O GigaWiper foi descrito como um implante modular desenvolvido em Golang, com capacidade de comando e controle, espionagem, criptografia de arquivos e destruição completa de sistemas comprometidos. Na prática, ele não é apenas um malware de apagamento de dados, mas uma plataforma versátil que pode ser usada tanto para vigilância prolongada quanto para um ataque devastador em questão de minutos.
Segundo a Microsoft, o GigaWiper representa um ponto de inflexão na evolução dos chamados wipers, categoria de malware tradicionalmente focada na destruição de dados, muitas vezes sem objetivo direto de extorsão financeira. Diferentemente de wipers clássicos, que costumam ser ferramentas relativamente “simples”, os operadores do GigaWiper reuniram em uma única solução recursos que antes apareciam em famílias distintas, criando um backdoor destrutivo, acionado sob demanda conforme o interesse dos invasores.
Essa arquitetura possibilita aos criminosos escolher, em tempo real, quais comandos executar em cada máquina comprometida: da simples coleta de informações ao controle remoto total do equipamento, passando por rotinas de criptografia irreversível de arquivos e apagamento físico de discos. Em outras palavras, a mesma infecção pode ser usada inicialmente para espionagem silenciosa e, mais tarde, convertida em um ataque de destruição em larga escala.
Duas variantes com foco em destruição de discos
A análise técnica identificou dois tipos principais de amostras do GigaWiper em ambientes de vítimas. Ambas são executáveis portáteis, não ofuscados, escritos em Golang.
A primeira variante se comporta como um wiper independente. Em vez de apenas remover ou corromper arquivos, ela atua no nível físico do disco. O malware sobrescreve o conteúdo bruto, apaga metadados de partição e usa rotinas nativas de desligamento do Windows para forçar uma reinicialização imediata, sem qualquer atraso. Depois dessa sequência, o equipamento pode simplesmente deixar de iniciar, tornando-se, na prática, inútil e com recuperação extremamente difícil ou inviável.
A segunda amostra é mais sofisticada e inclui a mesma lógica destrutiva de disco como apenas um dos módulos de um backdoor completo. Nessa versão, o malware também estabelece persistência no sistema (ou seja, garante que será executado mesmo após reinicializações) e abre um canal de comunicação estável com a infraestrutura de comando e controle (C2).
De acordo com a análise, os operadores utilizam RabbitMQ sobre o protocolo AMQP para transmissão de comandos a partir do servidor C2 e Redis para registrar o status e o resultado das ações realizadas em cada máquina infectada. Essa combinação revela uma preocupação com organização operacional e monitoramento detalhado das tarefas, características típicas de grupos bem estruturados.
Estrutura modular e categorias de comandos
O GigaWiper adota uma abordagem modular, segmentando seus comandos em categorias específicas. Entre elas estão:
– comandos do tipo “always run”, voltados a atividades contínuas, como gravação de tela;
– funções de gerenciamento do sistema operacional;
– modos especiais de execução, que alteram o comportamento do implante conforme o cenário;
– comandos de shell, usados para acionar funcionalidades extras ou scripts externos.
Esse desenho oferece grande flexibilidade: o mesmo backdoor pode operar por longos períodos apenas observando, coletando dados, testando credenciais e movimentando-se lateralmente na rede. Quando os invasores consideram o momento adequado – seja por motivação política, sabotagem ou dano reputacional – podem, então, acionar os módulos destrutivos e interromper operações críticas de forma abrupta.
Capacidade de bloquear recuperação e provocar falhas fatais
Entre os recursos mais preocupantes do GigaWiper estão os comandos capazes de desativar mecanismos de recuperação nativos do Windows e causar a famosa tela azul da morte (BSOD – Blue Screen of Death). Em alguns cenários, o equipamento pode ser deixado em um estado no qual não consegue mais inicializar, mesmo com tentativas de reparo padrão.
Outro ponto crítico é a integração com uma rotina destrutiva inspirada em grande parte no ransomware Crucio. Nessa funcionalidade, o malware criptografa arquivos usando chaves geradas de forma aleatória que não são armazenadas em lugar algum. Isso significa que, mesmo que as vítimas queiram pagar um resgate, não há, em tese, chave de descriptografia válida a ser fornecida. O resultado final se aproxima mais de um ataque de wiper do que de ransomware tradicional, já que a possibilidade de recuperação por meio de pagamento é, na prática, inexistente.
Criptografia em massa e exfiltração de dados
O GigaWiper também inclui uma função que permite criptografar ou descriptografar grandes volumes de arquivos com AES‑256 em modo CBC – um padrão robusto, usado inclusive em aplicações legítimas de segurança. Além disso, um comando separado integra o MinIO Client (mc), ferramenta normalmente empregada para gerenciar armazenamento compatível com o protocolo S3. Nesse caso, ela é usada para enviar arquivos roubados a um repositório remoto controlado pelos atacantes.
Essa combinação amplia o impacto potencial dos ataques. Antes de inutilizar sistemas, os operadores podem:
– copiar documentos sensíveis;
– capturar e armazenar capturas de tela;
– registrar ações executadas nos dispositivos;
– extrair bases de dados, credenciais ou informações estratégicas.
Com isso, eles conseguem tanto causar dano operacional quanto explorar os dados em campanhas de extorsão, espionagem ou venda em mercados clandestinos.
Amplos recursos de espionagem e controle remoto
Além da destruição de dados, o backdoor oferece uma série de capacidades voltadas à vigilância e ao controle direto da máquina infectada. Entre elas:
– execução de comandos PowerShell;
– captura de screenshots de forma recorrente;
– gravação contínua da tela do dispositivo comprometido;
– coleta detalhada de informações de hardware, software e rede;
– limpeza dos logs de eventos do Windows, dificultando a investigação posterior;
– controle remoto de teclado e mouse, permitindo ao operador agir como se estivesse fisicamente diante do computador.
Esse conjunto de funcionalidades permite que os invasores observem o comportamento de usuários, monitorem aplicações corporativas, busquem credenciais salvas e preparem, com calma, um estágio final de destruição ou sabotagem.
Fusão de diferentes famílias de malware
Para os analistas da Microsoft, o GigaWiper não surgiu do zero. Ele combina componentes de pelo menos três famílias de malware que antes atuavam de forma separada:
– o ransomware Crucio, reaproveitado principalmente na parte de criptografia destrutiva;
– uma reimplementação em Go do FlockWiper, outro wiper conhecido;
– um wiper de disco independente, responsável pelo ataque direto ao nível físico de armazenamento.
Ao reunir essas peças em um único backdoor modular, o agente por trás do GigaWiper ganha um arsenal mais versátil, capaz de se adaptar ao alvo e ao objetivo da campanha: espionagem prolongada, desestabilização de infraestrutura, dano reputacional ou interrupção de serviços críticos.
Embora a empresa não tenha divulgado em detalhes o volume total de ataques nem o perfil completo das organizações atingidas, a natureza da ameaça indica interesse em alvos de maior valor, como empresas, órgãos públicos e provedores de serviços, onde a paralisação de sistemas e a perda de dados podem gerar impacto financeiro, operacional e até social significativo.
—
Por que o GigaWiper é especialmente perigoso?
Do ponto de vista de segurança corporativa, o GigaWiper marca uma tendência preocupante: a convergência entre espionagem, ransomware e wipers em plataformas únicas, altamente configuráveis. Alguns pontos tornam esse malware particularmente crítico:
1. Destruição física lógica de discos: atuar no nível de partição e conteúdo bruto do disco dificulta o uso de técnicas de recuperação tradicionais, inclusive com ferramentas forenses.
2. Criptografia sem recuperação: a geração de chaves aleatórias descartadas elimina o modelo “pague pelo resgate e recupere seus arquivos”, tornando o dano permanente.
3. Controle contínuo via C2 robusto: uso de RabbitMQ e Redis revela operação estruturada, com possibilidade de coordenar ações simultâneas em diversos alvos.
4. Capacidade de ataque em duas fases: espionagem e movimento lateral primeiro, destruição e impacto máximo depois, no momento escolhido pelo atacante.
Essa combinação faz com que o GigaWiper não seja apenas “mais um malware”, mas uma ferramenta de propósito estratégico, potencialmente usada em cenários de cibercrime avançado ou até operações de sabotagem digital.
—
Como empresas e usuários podem se proteger?
Embora a ameaça seja sofisticada, algumas práticas reduzem significativamente o risco de infecção e o impacto de um eventual ataque.
1. Fortalecer backups e plano de recuperação
– Manter backups offline ou imutáveis (não acessíveis diretamente pela rede de produção).
– Testar periodicamente a restauração de dados, em vez de confiar apenas na existência do backup.
– Adotar a regra 3-2-1: três cópias de dados, em dois tipos de mídia, sendo uma em local ou mídia isolada.
Com um wiper, a questão não é “se” os dados serão destruídos, mas “como” você os restaura depois.
2. Endurecimento de endpoints e servidores
– Utilizar soluções de EDR/XDR capazes de identificar comportamentos suspeitos, como acesso massivo a discos, execução anômala de PowerShell e limpeza de logs.
– Bloquear ou monitorar de perto o uso de ferramentas administrativas, como PowerShell e utilitários de linha de comando, especialmente em estações de trabalho.
– Restringir privilégios de usuário: contas comuns não devem ter permissões de administrador local.
3. Segmentação de rede e princípio do menor privilégio
– Separar redes críticas (bancadas de produção, servidores sensíveis, ambientes industriais) do restante do ambiente corporativo.
– Implementar o princípio do menor privilégio em contas de serviço e acessos remotos.
– Usar autenticação multifator, especialmente para acessos administrativos e VPN.
Com uma boa segmentação, mesmo que o GigaWiper entre em uma máquina, a movimentação lateral e o efeito cascata podem ser limitados.
4. Atualizações e correções de vulnerabilidades
– Manter sistemas operacionais, servidores e softwares de terceiros atualizados com os últimos patches.
– Priorizar correção de falhas que permitem execução remota de código ou elevação de privilégios.
– Monitorar vulnerabilidades críticas em serviços expostos à internet, como VPNs, servidores web e sistemas de e-mail.
Muitos ataques começam explorando falhas já conhecidas e documentadas, em sistemas que deixaram de ser corrigidos a tempo.
5. Treinamento e conscientização
– Capacitar equipes internas para reconhecer phishing, arquivos maliciosos e mensagens suspeitas.
– Reforçar políticas de uso de dispositivos externos (pendrives, HDs) e softwares não autorizados.
– Criar canais simples para que funcionários reportem incidentes sem medo de punição.
Mesmo malwares sofisticados costumam depender, em algum momento, de uma ação humana indevida, como abrir um anexo malicioso.
—
Preparação para incidentes envolvendo wipers
Diante de ameaças como o GigaWiper, ter um plano de resposta a incidentes é fundamental. Alguns pontos-chave:
– Definir previamente quem decide desconectar sistemas de rede ao detectar atividade suspeita.
– Manter imagens limpas de sistemas críticos para reconstrução rápida de servidores.
– Estabelecer procedimentos claros de coleta de evidências, equilibrando investigação e necessidade de retomar a operação.
– Simular periodicamente cenários de ataque com destruição de dados, para identificar gargalos e falhas de comunicação.
No contexto atual, em que wipers e ransomwares se misturam, a questão não é apenas evitar o ataque, mas estar preparado para reagir rápido quando ele acontecer.
—
O que o GigaWiper indica sobre o futuro das ameaças
A consolidação de backdoor, wiper e funcionalidade de ransomware em uma única plataforma mostra que os grupos atacantes estão evoluindo para ferramentas multifunção, que permitem:
– testar diferentes estratégias (extorsão, sabotagem, espionagem) sem trocar de malware;
– adaptar o ataque ao tipo de alvo, ao contexto político ou econômico e à resposta da vítima;
– manter campanhas ativas por longos períodos e acionar o “modo destrutivo” apenas quando conveniente.
Para organizações que dependem fortemente de sistemas Windows, o GigaWiper funciona como um alerta: a proteção contra ransomware tradicional já não é suficiente. É preciso pensar também em cenários em que não existe chave de descriptografia, nem negociação possível – apenas destruição de dados e indisponibilidade de serviços.
Investir em prevenção, detecção antecipada, segmentação de redes e planos robustos de continuidade de negócios deixa de ser diferencial e passa a ser requisito mínimo para sobreviver em um ambiente em que ameaças como o GigaWiper começam a se tornar mais comuns e sofisticadas.