Większość współczesnego złośliwego oprogramowania ma jeden główny cel – zarobić pieniądze. Ransomware szyfruje pliki i żąda okupu, trojany bankowe kradną dane logowania, a infostealery wyciągają hasła i tokeny uwierzytelniające do późniejszego wykorzystania lub sprzedaży w Dark Web.

Autor: 6 min czytania

Nowo odkryty malware o nazwie GigaWiper idzie jednak o krok dalej. To rozbudowany zestaw narzędzi, łączący funkcje zdalnego dostępu (RAT), szpiegowania użytkownika oraz niszczenia systemu. W zależności od polecenia operatora może działać jak klasyczny backdoor, ransomware albo wiper, którego jedynym celem jest trwałe zniszczenie danych. Szczegóły techniczne GigaWipera opisane zostały na blogu Microsoftu.

Zdalny dostęp daje pełną kontrolę

Pierwszym etapem działania GigaWipera jest przejęcie kontroli nad zainfekowanym komputerem. Po uruchomieniu malware zbiera informacje o systemie, uruchomionych procesach oraz konfiguracji komputera, a następnie nawiązuje połączenie z serwerem operatora. Dzięki temu atakujący może wykonywać polecenia praktycznie w czasie rzeczywistym.

Możliwości są bardzo szerokie. Malware potrafi uruchamiać dodatkowe programy, zarządzać usługami systemowymi, modyfikować rejestr Windows, kopiować pliki oraz wykonywać polecenia w systemie z uprawnieniami użytkownika lub administratora. W praktyce oznacza to pełne przejęcie stacji roboczej bez konieczności instalowania kolejnych narzędzi.

Funkcje szpiegowskie RAT

GigaWiper nie ogranicza się do wykonywania poleceń. Malware umożliwia robienie zrzutów ekranu, nagrywanie aktywności użytkownika oraz zestawianie sesji VNC, dzięki którym operator może zdalnie obserwować pulpit lub samodzielnie sterować komputerem.

Takie możliwości są szczególnie niebezpieczne podczas ataków na administratorów lub pracowników działów finansowych. Przestępcy mogą przechwytywać logowania do systemów, obserwować pracę użytkownika, a nawet wykonywać operacje w jego imieniu bez wzbudzania podejrzeń.

Właśnie tego typu funkcje pojawiają się coraz częściej jeszcze przed uruchomieniem ransomware. Atakujący najpierw rozpoznają środowisko, identyfikują najcenniejsze zasoby, a dopiero później decydują, czy szyfrować dane, czy całkowicie je zniszczyć.

Trzy różne sposoby niszczenia danych

Najbardziej niepokojącym elementem GigaWipera są jego funkcje destrukcyjne.

Badacze opisują trzy niezależne mechanizmy usuwania danych. Malware może nadpisywać fizyczne dyski, uszkadzać tablice partycji oraz wielokrotnie zapisywać losowe dane na całym nośniku, skutecznie uniemożliwiając odzyskanie informacji.

Alternatywnie może działać jak ransomware, szyfrując pliki i zmieniając ich rozszerzenia. Co ciekawe, w analizowanych próbkach nie znaleziono klasycznego mechanizmu generowania kluczy deszyfrujących ani procesu negocjacji okupu.

Oznacza to, że szyfrowanie może pełnić rolę zasłony dymnej. Ofiara ma odnieść wrażenie, że odzyskanie danych będzie możliwe po zapłaceniu okupu, podczas gdy w rzeczywistości pliki zostały bezpowrotnie zniszczone. To coraz częściej spotykana taktyka w atakach sponsorowanych przez państwa, gdzie głównym celem nie jest zysk finansowy, lecz sabotaż.

Malware skutecznie ukrywa swoją obecność

Jak większość nowoczesnych zagrożeń, GigaWiper wykorzystuje również mechanizmy utrudniające wykrycie.

Badacze zauważyli, że malware tworzy zadanie harmonogramu o nazwie przypominającej legalne aktualizacje Microsoft OneDrive oraz zapisuje informacje o swojej obecności w kluczach rejestru powiązanych z tą usługą. Dla administratora przeglądającego system taka konfiguracja może wyglądać całkowicie normalnie.

To dobry przykład coraz popularniejszej techniki polegającej na ukrywaniu złośliwego oprogramowania pod nazwami znanych usług systemowych. Zamiast tworzyć podejrzane procesy, malware stara się wtapiać w codzienną aktywność systemu operacyjnego.

Powiązania z grupą CyberAv3ngers

Według analizy Microsoftu część komponentów GigaWipera wykazuje podobieństwa do narzędzi wykorzystywanych wcześniej przez grupę CyberAv3ngers, wiązaną z irańskim Korpusem Strażników Rewolucji Islamskiej (IRGC). Microsoft nie przypisał jej jednak kampanii jednoznacznie, wskazując jedynie na liczne podobieństwa kodu oraz zastosowanych technik.

To kolejny przykład trendu obserwowanego od kilku lat. Granica pomiędzy klasycznym ransomware a malware wykorzystywanym w operacjach cyberszpiegowskich coraz bardziej się zaciera. Te same narzędzia mogą służyć zarówno do wykradania informacji, jak i prowadzenia działań destrukcyjnych.

Jak wykrywać GigaWipera

Ponieważ malware posiada wiele różnych funkcji, jego aktywność można zauważyć na kilku etapach ataku.

Szczególną uwagę warto zwrócić na tworzenie nowych zadań Harmonogramu z nazwami przypominającymi usługi Microsoft, nietypowe modyfikacje kluczy rejestru związanych z OneDrive, uruchamianie sesji VNC bez wiedzy użytkownika oraz procesy wykonujące bezpośrednie operacje zapisu na fizycznych dyskach (\\.\PhysicalDrive*).

W środowiskach EDR bardzo cennym wskaźnikiem kompromitacji będą również próby wyłączania usług bezpieczeństwa, masowe operacje nadpisywania danych oraz nietypowa aktywność narzędzi administracyjnych uruchamianych z jednego procesu.

W przypadku zagrożeń typu wiper kluczowe znaczenie ma czas reakcji. Po rozpoczęciu nadpisywania danych odzyskanie informacji jest często niemożliwe, nawet z wykorzystaniem specjalistycznych narzędzi.

Podsumowanie

GigaWiper pokazuje, że współczesne malware’y coraz rzadziej pełnią jedną prostą funkcję. Zamiast klasycznego ransomware czy prostego trojana otrzymujemy wielofunkcyjne platformy, które mogą prowadzić rozpoznanie, szpiegować użytkownika, zapewniać zdalny dostęp, a na końcu całkowicie zniszczyć system.

Dla zespołów SOC oznacza to konieczność monitorowania nie tylko końcowego etapu ataku, ale również znacznie wcześniejszych oznak kompromitacji. Gdy malware osiągnie fazę niszczenia danych, na skuteczną reakcję jest już zazwyczaj za późno.