GigaWiper: malware destructivo modular que permite a los atacantes elegir libremente el método de destrucción.

Resumen del evento

En octubre de 2025, Microsoft Threat Intelligence descubrió un nuevo malware durante una actividad de borrado destructivo, inicialmente confundido con un backdoor basado en Golang. Tras un análisis más profundo, los investigadores confirmaron que el malware es un implante modular, al que denominaron GigaWiper. La característica principal de GigaWiper es que no es un único borrador, sino una "puerta trasera con un borrador incrustado", que combina capacidades de backdoor con múltiples cargas destructivas. Tras controlar la red de la víctima, el atacante puede seleccionar de forma flexible el método de destrucción mediante comandos.

Análisis técnico y de riesgos

Modo de ataque GigaWiper pertenece a la categoría de malware modular, que toma fragmentos de código de varias familias de malware conocidas para formar una herramienta multipropósito. Sus funciones principales incluyen: - Capacidad de backdoor: admite comunicación de comando y control (C2), permitiendo al atacante ejecutar comandos de forma remota. - Borrado de disco: puede sobrescribir discos en el sistema objetivo, imposibilitando la recuperación de datos. - Destrucción de archivos: puede eliminar o dañar archivos específicos de forma selectiva. - Otras cargas destructivas: el atacante puede cargar módulos de borrado adicionales según sea necesario.

Cadena de explotación El atacante primero obtiene acceso a la red mediante métodos de acceso inicial (como phishing o explotación de vulnerabilidades), y luego despliega el backdoor GigaWiper. Una vez establecida la conexión C2, el atacante puede enviar comandos personalizados para desencadenar diferentes comportamientos de borrado. Este diseño permite al atacante adaptar el alcance de la destrucción al entorno objetivo, evitando la detección temprana.

Activos afectados - Dispositivos finales: sistemas Windows (posiblemente también Linux, pero los informes actuales se centran en binarios compilados con Golang) - Almacenamiento de datos: discos locales, almacenamiento compartido - Sistemas de copia de seguridad: si no están aislados, la operación de borrado podría afectar a las copias de seguridad

Análisis del impacto empresarial

• Riesgo operativo: la destrucción de datos críticos provoca interrupción del negocio y altos costos de recuperación.
• Riesgo financiero: la pérdida de datos puede dar lugar a multas (como las del RGPD), litigios y pérdidas de productividad.
• Riesgo de cumplimiento: los sectores regulados (como finanzas o salud) que no puedan cumplir con los requisitos de retención de datos se enfrentarán a sanciones.
• Riesgo de marca: la divulgación de incidentes de seguridad afecta la confianza del cliente.
• Riesgo de datos: pérdida permanente de datos, incluso si existen copias de seguridad, pueden ser ineficaces debido al borrado sincronizado de las mismas.

Observación de tendencias en la industria

La aparición de GigaWiper no es un hecho aislado, sino que representa la tendencia del malware destructivo hacia la modularidad y la personalización.La aparición de GigaWiper no es un evento aislado, sino que representa la tendencia del malware destructivo hacia la modularidad y la personalización. Los borradores tradicionales (como NotPetya, Shamoon) solían ser cargas destructivas de una sola función, mientras que GigaWiper fusiona una puerta trasera con un borrador, permitiendo a los atacantes ajustar sus estrategias de ataque en tiempo real tras la intrusión. Esta tendencia implica:

• Mayor dificultad de detección: las firmas estáticas de una sola función ya no son efectivas, ya que el comportamiento malicioso se activa bajo demanda.
• Mayor eficiencia del atacante: un solo implante reemplaza múltiples herramientas, reduciendo los costos de implementación y el riesgo de exposición.
• Riesgo en la cadena de suministro: el diseño modular de GigaWiper podría propagarse a través de la cadena de suministro, siendo más sigiloso.

Recomendaciones de Defensa y Respuesta

A nivel empresarial - Seguridad de identidad: implementar autenticación multifactor (MFA) y seguir el principio de mínimo privilegio para limitar el movimiento lateral. - Arquitectura de confianza cero: verificar todas las solicitudes de acceso, sin confiar en la red interna. - Gestión de vulnerabilidades: parchear las vulnerabilidades conocidas de manera oportuna para reducir la superficie de ataque inicial.

A nivel técnico - Detección y respuesta en endpoints (EDR): implementar soluciones EDR con análisis de comportamiento para monitorizar la creación de procesos anómalos y operaciones de escritura en disco. - XDR: correlacionar registros entre capas para identificar signos tempranos de la actividad de la puerta trasera y de borrado. - Inteligencia de amenazas: suscribirse a fuentes principales de inteligencia de amenazas para obtener los IoC relacionados con GigaWiper. - Estrategia de copias de seguridad: seguir la regla 3-2-1, almacenar las copias de seguridad de forma aislada y probar la recuperación periódicamente.

A nivel de gestión - Plan de respuesta a incidentes: elaborar procedimientos de emergencia para ataques de borradores, que incluyan el aislamiento de sistemas comprometidos, análisis forense y recuperación de copias de seguridad. - Gobernanza de seguridad: incluir el malware modular en los modelos de evaluación de riesgos. - Gestión de riesgos de terceros: revisar las prácticas de seguridad de los proveedores para evitar la introducción de amenazas a través de la cadena de suministro.

SecurityPost Insight

El descubrimiento de GigaWiper marca la entrada de los ataques destructivos en un modelo de "servicio". Aunque actualmente no se atribuye a ninguna APT específica, su arquitectura modular reduce la barrera de entrada para los atacantes: incluso hackers no estatales pueden utilizar combinaciones listas para lanzar ataques devastadores. Para las empresas, la estrategia tradicional de copias de seguridad centrada en ransomware ya no es suficiente, ya que los borradores destruyen datos directamente sin exigir rescate. El enfoque de defensa futuro debe pasar de "prevenir el cifrado" a "prevenir la destrucción", lo que incluye mejorar la detección de comportamiento, implementar copias de seguridad inmutables y aumentar la sensibilidad a la actividad de puertas traseras. Prevemos que estas herramientas modulares destructivas serán una de las principales amenazas desde la segunda mitad de 2026 hasta 2027, y las empresas deben ajustar su arquitectura de seguridad lo antes posible.