GigaWiper: Anatomie eines destruktiven Backdoors, der drei Malware-Familien vereint

Am 9. Juli 2026 machte Microsoft Threat Intelligence eine Schadsoftware öffentlich, die eine unangenehme Entwicklung auf den Punkt bringt: GigaWiper, ein in Golang geschriebenes Windows-Backdoor, das gleich drei eigenständige Malware-Familien als Befehle auf Abruf in einem einzigen Implantat bündelt. Es verschlüsselt, wischt und spioniert, tut aber nichts davon, um Lösegeld zu erpressen. Ziel ist reine Zerstörung, getarnt als Ransomware. Dieser Beitrag seziert Aufbau, Command-and-Control und Abwehr, und zeigt, warum gegen eine solche Post-Compromise-Waffe kein Patch, sondern nur Sichtbarkeit hilft.

Was GigaWiper ist, und was daran neu ist

Microsoft identifizierte GigaWiper im Oktober 2025, nachdem in kompromittierten Umgebungen zerstörerische Wiping-Aktivität beobachtet worden war. Das Bemerkenswerte ist nicht eine einzelne, brillante Technik, sondern die Konsolidierung: Statt mehrere Werkzeuge nacheinander einzuschleusen, hat der Akteur bestehende Schadsoftware zu Befehlen innerhalb eines Backdoors verschmolzen. Das Implantat ist ein unstripped Golang-PE, das über einen dualen Command-and-Control-Kanal rund 20 Befehle entgegennimmt, von harmloser Aufklärung bis zur irreversiblen Zerstörung des Datenträgers.

Microsoft ordnet die Entwicklung so ein: Die Bündelung mehrerer destruktiver Fähigkeiten in einem modularen Backdoor sei ein bemerkenswerter Wandel bei Wiper-Malware, die üblicherweise rein auf Zerstörung statt auf Erpressung ausgelegt ist. Genau diese Modularität gibt dem Angreifer die Wahl der Zerstörungsart, und erschwert der Verteidigung die Einordnung, weil dasselbe Implantat wie Ransomware, wie Spyware oder wie ein Sabotagewerkzeug aussehen kann.

Die drei Zerstörungswege im Detail

GigaWiper bietet dem Angreifer nicht eine, sondern mehrere unabhängige Methoden, ein System unbrauchbar zu machen. Jede stammt aus einer anderen Quelle und hinterlässt ein anderes Bild.

Der physische Disk-Wiper (Befehl 1) zählt über WMI die physischen Laufwerke auf, identifiziert das Windows-Laufwerk und entfernt auf den übrigen Laufwerken die Partitionsmetadaten via DeviceIoControl und IOCTL_DISK_CREATE_DISK. Anschliessend überschreibt er die Datenträger in Blöcken zu 0xA00000 Byte, wobei nur das erste Byte zufällig gesetzt und der Rest genullt wird, und erzwingt einen sofortigen Neustart. Genau dieses Muster, das sich von einer reinen Voll-Nullung unterscheidet, kann simple signaturbasierte Erkennung unterlaufen.

Die falsche Ransomware (Befehl 3, RanMain/BigBangExtortMain) übernimmt eine Funktion direkt aus der Crucio-Ransomware-Familie. Sie verschlüsselt Dateien mit AES im CBC-Modus, hängt die Endung .candy an und legt ein Wallpaper (image_danger.jpg) im Ransomware-Look ab. Der entscheidende Unterschied zu echter Ransomware: Die Schlüssel werden zufällig erzeugt und nie gespeichert, es gibt keine Lösegeldforderung. Die Verschlüsselung ist damit endgültig, ein Wiper im Ransomware-Kostüm.

Die FlockWiper-Neuimplementierung (Befehl 12, WipeCMain) ist eine Golang-Portierung des ursprünglich in C geschriebenen FlockWiper (erstmals im Juni 2025 auf VirusTotal beobachtet). Sie wischt gezielt das Windows-Laufwerk mit einem mehrstufigen sicheren Verfahren, das zwischen Nullen, 0xFF und Zufallsbytes wechselt. FlockWiper-Samples verweisen auf PDB-Pfade wie A:\GRAT\CWipeNew\Release\CWipeNew.pdb, ein Hinweis, der zusammen mit dem Funktionsnamen BigBangExtortMain die Verbindung zum Crucio-Akteur stützt.

Command-and-Control: getarnt im legitimen Datenverkehr

Der interessanteste Teil aus Verteidigersicht ist, wie GigaWiper mit seinem Operator spricht. Statt gewöhnlicher HTTP- oder HTTPS-Requests, die von Web-Proxys und URL-Filtern gesehen würden, reitet das Backdoor auf echten Geschäftsdiensten: RabbitMQ (AMQP) für die Beauftragung, Redis für die Rückmeldung von Ergebnissen und MinIO für die Datei-Exfiltration. Über ein Fanout-Exchange namens «All» lassen sich Befehle an alle Implantate gleichzeitig senden, über ein Topic-Exchange «Topic» gezielt an einzelne.

Diese Wahl ist bewusst: RabbitMQ, Redis und MinIO sind in vielen Umgebungen legitime Bausteine. Verkehr zu ihnen fällt bei signatur- und domänenbasierter Erkennung nicht zwingend auf. Sichtbar wird er hingegen für verhaltensbasierte Netzwerkanalyse, die fragt, ob ein bestimmter Endpunkt normalerweise mit einem Message-Broker spricht, zu welchen Zeiten und in welchem Volumen. Genau hier setzt NDR an.

Tarnung als OneDrive: Persistenz und Verschleierung

Um dauerhaft und unauffällig zu bleiben, gibt sich GigaWiper als Microsoft OneDrive aus. Es erstellt per PowerShell einen geplanten Task namens «OneDrive Update», der jede Minute und beim Systemstart läuft, und verfolgt seine eigene Ausführung über einen Zähler im Registry-Schlüssel HKCU\SOFTWARE\OneDrive\Environment. Weil dieser Pfad im Benutzerkontext liegt, braucht die anfängliche Persistenz keine administrativen Rechte.

Für den Fernzugriff (Befehl 20, eine VNC-artige Remote-Desktop-Steuerung) legt das Backdoor Firewall-Regeln an, die auf Microsoft.Windows.CloudExperienceHost verweisen, um sich in legitimen Windows-Datenverkehr einzureihen. Und mit Befehl 19 löscht es die Ereignisprotokolle für System, Setup, Application, ForwardedEvents und Security über wevtutil.exe, um Spuren zu verwischen. Ein Angreifer, der Logs löscht, ist selbst ein starkes Signal, sofern jemand es sieht, bevor es zu spät ist.

Nicht nur Zerstörung: Aufklärung und Spionage

GigaWiper ist mehr als ein Wiper. Vor der Zerstörung kann es ausführlich aufklären und überwachen. Befehl 15 (GRATClientInfo) sammelt IP-Adresse, Machine-GUID, CPU, OS-Version und -Build, Netzwerkkonfiguration, Firmware-Informationen, lokale Benutzerkonten und das installierte Antivirenprodukt (per PowerShell-Abfrage über root\SecurityCenter2). Hinzu kommen Screenshots pro Monitor (Befehl 9), Bildschirmaufzeichnung bei aktivem, nicht im Leerlauf befindlichem System (Befehl 10) sowie eine für Tastatureingaben vorgesehene Funktion (Befehl 11). Prozess-, Dienst- und Registry-Verwaltung (Befehle 16 bis 18) runden die Fernkontrolle ab.

Attribution: die Spur zu Crucio und «GRAT»

Microsoft führt GigaWiper auf denselben Akteur zurück, der hinter der Crucio-Ransomware steht, die im Dezember 2023 Gegenstand einer CISA-Meldung war. Die Belege sind konkret: geteilter Quellcode zwischen dem Crucio-Verschlüsselungsbefehl und der Ransomware, der identische Funktionsname BigBangExtortMain sowie PDB-Referenzen auf ein internes Framework namens GRAT, das sowohl in FlockWiper-Samples als auch in GigaWiper auftaucht. Eine spezifische geografische Opfergruppe nennt Microsoft nicht, die Fähigkeiten deuten aber auf breit einsetzbare, destruktive Kampagnen hin.

Warum kein Patch hilft, und was stattdessen wirkt

Der wichtigste Satz aus Microsofts Analyse lautet sinngemäss: Weil dies Schadsoftware ist und keine einzelne Schwachstelle, gibt es keinen Patch, den man jagen könnte. GigaWiper ist das, was ein Angreifer ausführt, nachdem er bereits drinnen ist. Die Verteidigung verschiebt sich damit von «Lücke schliessen» zu «Erstzugriff und laterale Bewegung früh erkennen» und «Wiederherstellbarkeit sicherstellen». Microsoft empfiehlt Tamper Protection, dauerhaften Echtzeitschutz, EDR im Block-Modus, Attack Surface Reduction, das Blockieren bekannter C2-Infrastruktur und automatisierte Untersuchung. Übersetzt in eine mehrschichtige, souveräne Verteidigung heisst das:

Indicators of Compromise (IOCs)

Vollständige und laufend aktualisierte IOC-Listen samt Microsoft-Defender-Erkennungsnamen finden sich im verlinkten Microsoft-Security-Blog. Die C2-Adressen sollten, wo möglich, blockiert werden.

Häufige Fragen