GigaWiper: il malware che distrugge i dischi e trasforma i PC in sistemi inutilizzabili

Il Microsoft Threat Intelligence ha pubblicato l'analisi dettagliata di GigaWiper, un malware particolarmente sofisticato che unisce funzionalità di accesso remoto, raccolta di informazioni e distruzione irreversibile dei dati. Individuata per la prima volta nell'ottobre 2025, la minaccia rappresenta un'evoluzione rispetto ai tradizionali wiper, poiché concentra in un unico strumento capacità normalmente distribuite tra malware differenti. Lo stesso codice è monitorato anche da Google Threat Intelligence Group e Binary Defense con il nome BlueRabbit.

Secondo Microsoft, GigaWiper non nasce come un semplice programma destinato a cancellare i dati, ma come una piattaforma modulare capace di adattarsi agli obiettivi dell'attaccante. Il malware è sviluppato in linguaggio Go (Golang) e incorpora funzionalità provenienti da almeno tre precedenti famiglie malevole: il wiper originale GigaWiper, il ransomware Crucio e FlockWiper. Tutte queste componenti sono state integrate in una backdoor unica che permette agli operatori di scegliere, tramite specifici comandi, quale modalità di attacco utilizzare.

L'aspetto più critico riguarda la capacità di operare direttamente sui dischi fisici. Invece di limitarsi alla cancellazione dei file, GigaWiper individua le unità installate, elimina le informazioni sulle partizioni e sovrascrive i contenuti dei supporti di memorizzazione a basso livello. Al termine dell'operazione forza il riavvio del sistema, lasciando i dati praticamente irrecuperabili.

Microsoft descrive anche una seconda modalità distruttiva che simula il comportamento di un ransomware. I file vengono cifrati e rinominati con estensione .candy, ma le chiavi di cifratura vengono generate casualmente e non vengono mai salvate. Di conseguenza non esiste alcuna possibilità tecnica di decifrare i dati, rendendo questa funzione un wiper mascherato da ransomware piuttosto che un classico attacco finalizzato all'estorsione.

Una variante ancora più aggressiva interviene esclusivamente sull'unità contenente Windows, effettuando più passaggi di sovrascrittura con schemi differenti di dati, inclusi valori casuali, zeri e byte 0xFF. Questa procedura rende ancora più complesso l'eventuale recupero delle informazioni.

Le capacità della backdoor vanno però ben oltre la distruzione dei dati. GigaWiper può acquisire schermate, registrare continuamente il contenuto dello schermo, raccogliere informazioni dettagliate sull'hardware e sul sistema operativo, amministrare processi e servizi Windows, modificare il registro di sistema, cancellare i log degli eventi e avviare un controllo remoto completo della macchina infetta attraverso una modalità simile a VNC, che consente agli attaccanti di utilizzare tastiera e mouse a distanza.

Per garantire la persistenza, il malware crea un'attività pianificata denominata "OneDrive Update", configurata per essere eseguita all'avvio del sistema e successivamente con intervalli di circa un minuto. Il nome scelto può facilmente confondersi con attività legittime del sistema operativo. Le comunicazioni con l'infrastruttura di comando e controllo avvengono inoltre tramite RabbitMQ e Redis, due tecnologie frequentemente presenti negli ambienti aziendali, caratteristica che può contribuire a rendere meno evidente il traffico di rete generato dal malware.

L'analisi del codice ha permesso inoltre di stabilire collegamenti con malware già noti. Le funzionalità di cifratura derivano infatti da Crucio, documentato anche dalla CISA nel 2023, mentre la logica di cancellazione multipla del disco riprende quella di FlockWiper, riscritta però in Golang e aggiornata con ulteriori meccanismi di sovrascrittura sicura. Secondo Microsoft, questa evoluzione dimostra come gli autori abbiano progressivamente consolidato strumenti separati in un'unica piattaforma operativa, riducendo il numero di componenti da distribuire durante gli attacchi e aumentando al tempo stesso la flessibilità delle operazioni.

Al momento Microsoft non ha rilevato campagne di diffusione su larga scala rivolte agli utenti domestici. GigaWiper viene impiegato principalmente in attacchi mirati contro società, dove gli aggressori compromettono inizialmente l'infrastruttura, mantengono il controllo della rete, raccolgono informazioni e solo successivamente attivano i meccanismi distruttivi.

Per mitigare il rischio, Microsoft raccomanda alle aziende di mantenere attive le funzionalità di tamper protection, utilizzare sistemi EDR con capacità di blocco automatico, monitorare la creazione di attività pianificate sospette, controllare le connessioni verso infrastrutture di comando e controllo e mantenere copie di backup completamente isolate dalla rete aziendale. Per gli utenti privati restano valide le consuete pratiche di sicurezza, come mantenere aggiornati Windows e gli strumenti di protezione ed evitare l'esecuzione di allegati o software provenienti da fonti non attendibili.