GigaWiper: Modulare destruktive Malware ermöglicht Angreifern die freie Wahl der Zerstörungsmethode

Ereignisübersicht

Im Oktober 2025 entdeckte Microsoft Threat Intelligence im Rahmen einer zerstörerischen Löschaktion eine neue Schadsoftware, die zunächst fälschlicherweise für ein auf Golang basierendes Hintertürprogramm gehalten wurde. Nach eingehender Analyse identifizierten die Forscher die Schadsoftware als modulares Implantat und gaben ihr den Namen GigaWiper. Das Kernmerkmal von GigaWiper ist, dass es sich nicht um einen einzelnen Löscher handelt, sondern um eine „Hintertür mit eingebettetem Löscher“ – eine Kombination aus Hintertürfunktionalität und mehreren zerstörerischen Nutzlasten, die es einem Angreifer ermöglicht, nach der Kontrolle über das Opfernetzwerk durch Befehle flexibel die Zerstörungsmethode auszuwählen.

Technische und Risikoanalyse

Angriffsmethode GigaWiper gehört zur Kategorie modularer Schadsoftware, die Codefragmente aus mehreren bekannten Schadsoftwarefamilien ausleiht, um ein multifunktionales Werkzeug zu erschaffen. Die Hauptfunktionen umfassen: - Hintertürfähigkeit: Unterstützt Kommunikation mit dem Command-and-Control (C2) Server, sodass Angreifer entfernte Befehle ausführen können. - Festplattenlöschung: Kann die Festplatten des Zielsystems überschreiben, sodass Daten nicht wiederherstellbar sind. - Dateiaufhebung: Kann bestimmte Dateien selektiv löschen oder beschädigen. - Weitere zerstörerische Nutzlasten: Der Angreifer kann bei Bedarf zusätzliche Löschmodule laden.

Angriffskette Der Angreifer erlangt zunächst durch anfängliche Zugriffsmittel (z. B. Phishing, Exploit) einen Netzzugang und setzt dann die Hintertür von GigaWiper ein. Sobald eine C2-Verbindung hergestellt ist, kann der Angreifer benutzerdefinierte Anweisungen senden, die verschiedene Löschaktionen auslösen. Dieses Design ermöglicht es dem Angreifer, den Zerstörungsbereich an die Zielumgebung anzupassen und eine frühzeitige Erkennung zu vermeiden.

Betroffene Vermögenswerte - Endgeräte: Windows-Systeme (möglicherweise auch Linux, aber die aktuellen Berichte konzentrieren sich auf mit Golang kompilierte Binärdateien) - Datenspeicher: Lokale Festplatten, gemeinsam genutzter Speicher - Sicherungssysteme: Falls nicht isoliert, könnten Löschoperationen auch Sicherungen betreffen

Analyse der Unternehmensauswirkungen

• Betriebsrisiko: Kritische Daten werden zerstört, was zu Betriebsunterbrechungen und hohen Wiederherstellungskosten führt.
• Finanzielles Risiko: Datenverlust kann zu Geldstrafen (z. B. DSGVO), Klagen und Produktivitätseinbußen führen.
• Compliance-Risiko: Regulierte Branchen (z. B. Finanzen, Gesundheitswesen) drohen Sanktionen, wenn sie Datenaufbewahrungsanforderungen nicht erfüllen können.
• Markenrisiko: Die Offenlegung eines Sicherheitsvorfalls beeinträchtigt das Kundenvertrauen.
• Datenrisiko: Dauerhafter Datenverlust, selbst wenn Sicherungen vorhanden sind, können diese durch synchrone Löschung unwirksam werden.

Branchentrends und BeobachtungenGigaWipers Auftreten ist kein isoliertes Ereignis, sondern repräsentiert den Trend, dass destruktive Malware modular und anpassbar wird. Traditionelle Wiper (wie NotPetya, Shamoon) sind normalerweise Schadlasten mit einer einzigen Funktion, während GigaWiper Hintertür und Wiper kombiniert und es Angreifern ermöglicht, nach dem Eindringen die Angriffsstrategie basierend auf Echtzeitinformationen anzupassen. Dieser Trend bedeutet: - Erhöhte Erkennungsschwierigkeit: Statische Signaturen mit einer einzigen Funktion sind nicht mehr wirksam, da bösartiges Verhalten nach Bedarf ausgelöst wird. - Effizienzsteigerung für Angreifer: Ein Implantat ersetzt mehrere Werkzeuge, senkt die Bereitstellungskosten und das Risiko der Entdeckung. - Lieferkettenrisiko: Das modulare Design von GigaWiper könnte über die Lieferkette verbreitet werden, mit höherer Tarnung.