Microsoft Threat Intelligence ha documentado una nueva amenaza destructiva denominada GigaWiper, un malware que combina funciones de puerta trasera con varias capacidades de borrado de datos. La herramienta no solo permite a los atacantes espiar y controlar de forma remota un sistema infectado, sino que también puede destruir archivos, cifrar información sin posibilidad de recuperación y borrar unidades de almacenamiento completas.
El hallazgo resulta especialmente preocupante porque GigaWiper no es un simple wiper diseñado para eliminar información de forma directa. Según el análisis de Microsoft, se trata de una plataforma multifuncional construida a partir de varias familias de malware previamente separadas, ensambladas en un único paquete con capacidades de vigilancia, control remoto y destrucción. Está escrita en Go y puede recibir órdenes desde un servidor de mando y control, lo que permite a sus operadores decidir cuándo observar, manipular o destruir el sistema comprometido.
Tres formas distintas de destruir datos
GigaWiper incorpora tres mecanismos principales de borrado.
El primero es un wiper independiente capaz de sobrescribir datos en modo bruto, actuando directamente a nivel de disco físico. Esto significa que no depende de la estructura de archivos ni de las particiones para causar daño, sino que puede operar sobre el almacenamiento de forma más profunda.
El segundo módulo funciona como un falso ransomware. Está derivado de la familia Crucio y cifra archivos del sistema, pero nunca guarda la clave de cifrado. En la práctica, esto convierte el supuesto ransomware en una herramienta destructiva: aunque la víctima quisiera pagar, no habría forma de recuperar los archivos.
El tercer componente reutiliza la lógica de FlockWiper y permite borrar la unidad del sistema Windows mediante un proceso de eliminación de varias pasadas. Este tipo de técnica busca dificultar cualquier intento posterior de recuperación forense.
La combinación de estos métodos convierte a GigaWiper en una amenaza de alto impacto. Puede destruir información a nivel de archivo, inutilizar datos mediante cifrado irreversible y afectar directamente a la estructura de almacenamiento del equipo.
Una puerta trasera con control remoto avanzado
Aunque su capacidad destructiva es el elemento más llamativo, GigaWiper también funciona como una puerta trasera completa. Microsoft ha identificado un total de 20 comandos que pueden ser enviados de forma remota desde la infraestructura de mando y control.
Estas órdenes permiten a los atacantes recopilar información del sistema, gestionar procesos, consultar o manipular registros de eventos de Windows y realizar cambios en el registro del sistema.
También cuenta con funciones de vigilancia. El malware puede capturar pantallas, grabar vídeo e incluso transmitir una vista en directo de la pantalla del usuario. Además, incorpora soporte para control remoto mediante teclado y ratón.
Esto permite a los operadores interactuar con el sistema comprometido como si estuvieran delante del equipo, una capacidad especialmente peligrosa en entornos corporativos.
Para facilitar estas comunicaciones, GigaWiper implementa transmisión basada en TCP y utiliza excepciones personalizadas en el Firewall de Windows, lo que le ayuda a ocultar o permitir sus conexiones.
Una amenaza construida a partir de varias familias de malware
Microsoft señala que GigaWiper ha sido ensamblado a partir de al menos tres familias de malware. El análisis vincula su código con Crucio y FlockWiper mediante similitudes en el flujo de ejecución, nombres de funciones y cadenas coincidentes.
La compañía también menciona un tercer componente detectado como CutBrooch, que probablemente corresponde al módulo de borrado independiente que opera a nivel de disco.
Esta reutilización de código refleja una tendencia habitual en el ecosistema del malware: los atacantes combinan capacidades ya existentes para crear herramientas más versátiles y difíciles de clasificar.
En este caso, el resultado es una plataforma que puede mantenerse activa en un equipo, observar la actividad del usuario, recibir órdenes remotas y activar funciones destructivas cuando el operador lo considere oportuno.
Falso ransomware sin recuperación posible
Uno de los elementos más peligrosos de GigaWiper es su módulo de falso ransomware. A diferencia de una operación de ransomware tradicional, en la que los atacantes conservan la clave de descifrado para presionar a la víctima y exigir un pago, este componente cifra los archivos sin guardar la clave.
Esto elimina cualquier posibilidad real de recuperación mediante negociación. El objetivo no es obtener un rescate, sino destruir la información bajo la apariencia de un ataque de ransomware.
Este tipo de táctica puede utilizarse para sabotaje, encubrimiento de intrusiones, operaciones de disrupción o ataques destinados a causar daño reputacional y operativo.
En una organización, la activación de este módulo podría provocar pérdida de documentos, interrupción de servicios, caída de sistemas críticos y necesidad de restaurar desde copias de seguridad limpias.
