GigaWiper: il malware Windows che distrugge i dati senza riscatto

Il malware GigaWiper su Windows non chiede riscatti: distrugge e basta. Microsoft Threat Intelligence lo ha documentato il 9 luglio 2026, dopo aver osservato le prime attività distruttive collegate a questo impianto nell’ottobre 2025. Non è un wiper qualsiasi: è una backdoor scritta in Go che incorpora almeno tre famiglie di malware precedentemente separate, trasformandole in comandi attivabili da remoto. L’operatore sceglie il tipo di danno: sovrascrittura del disco fisico, cifratura irreversibile mascherata da ransomware, oppure cancellazione sicura a passaggi multipli. Sotto trovi l’anatomia tecnica verificata sulla fonte primaria, due imprecisioni circolate sulla stampa italiana e le contromisure che hanno davvero senso su un parco macchine Windows.

Che cos’è il malware GigaWiper

GigaWiper è una backdoor per Windows scritta in Go che unisce controllo remoto completo e tre payload distruttivi diversi in un unico eseguibile. Microsoft la descrive come un’amalgama di famiglie malware prima separate, ricompattate in comandi on-demand: chi controlla l’impianto decide di volta in volta se spiare, sabotare o cancellare.

La ricerca di Microsoft distingue due tipologie di campione: binari wiper autonomi e binari più grandi con funzionalità di backdoor completa. Il codice del wiper autonomo, spiega l’azienda, è interamente incorporato nella backdoor come uno dei comandi disponibili. In pratica lo stesso motore di distruzione esiste sia come tool a sé stante sia come funzione remota.

Un dettaglio importante per non sbagliare la valutazione del rischio: GigaWiper non è un vettore di infezione iniziale. Viene installato dopo un’intrusione già riuscita. La difesa efficace, quindi, si gioca a monte, sulle strade d’ingresso classiche: email, siti e applicazioni fasulle, credenziali compromesse.

Le tre modalità di distruzione

La caratteristica che rende questo impianto interessante dal punto di vista dell’analisi non è la potenza distruttiva in sé, ma la modularità. Microsoft identifica tre componenti distruttivi, ognuno derivato da un progetto precedente:

• Wiper autonomo – opera a livello di disco fisico: sovrascrive il contenuto grezzo delle unità e rimuove i riferimenti alle partizioni, poi forza il riavvio. Non c’è cancellazione file per file da annullare.
• Falso ransomware derivato da Crucio – cifra i file con chiave e vettore di inizializzazione generati casualmente e mai salvati da nessuna parte. Rinomina i file con estensione .candy e cambia lo sfondo del desktop. Non viene rilasciata alcuna richiesta di riscatto.
• Wiper derivato da FlockWiper – originariamente scritto in C, riscritto in Golang all’interno di GigaWiper, aggiunge la cancellazione sicura con passaggi multipli sull’unità di sistema.

Microsoft collega GigaWiper a Crucio e FlockWiper sulla base dell’analisi del codice, del flusso di esecuzione condiviso, dei nomi delle funzioni e di stringhe univoche. FlockWiper era stato caricato su VirusTotal per la prima volta a giugno 2025, mesi prima delle osservazioni di GigaWiper in circolazione.

Persistenza e comunicazione con il C2

Per restare sul sistema, la backdoor scrive una chiave nel registro di Windows e crea un’attività pianificata. Qui va corretta un’imprecisione circolata su diverse testate: l’attività pianificata si chiama “OneDrive Update”, ma questo è un nome di copertura scelto per mimetizzarsi, non il vettore di infezione. Nessun aggiornamento fasullo di OneDrive: solo un task camuffato che gira all’avvio e a intervalli regolari. La tecnica del nome legittimo per componenti malevoli è la stessa logica che troviamo nel malware mascherato da utility per PC.

Sul fronte comando e controllo, l’impianto abbandona il classico HTTP a favore di due infrastrutture di messaggistica: RabbitMQ su protocollo AMQP per ricevere i comandi e Redis per restituire stato e output delle operazioni. La configurazione è cifrata in AES con chiave hardcoded nel binario.

Il set di comandi documentato da Microsoft arriva a venti voci e va ben oltre la distruzione: cattura di screenshot per ogni monitor, registrazione dello schermo quando l’utente è attivo, raccolta di informazioni di sistema e antivirus installati, gestione di processi, servizi e registro, cancellazione dei log eventi di Windows e un server TCP per il controllo remoto in stile VNC. È, in sostanza, una piattaforma di spionaggio con un pulsante di autodistruzione. Chi arriva a installarla ha spesso ottenuto l’accesso con tecniche di ingegneria sociale, come nel caso della backdoor nascosta in una falsa offerta di lavoro.

Wiper o ransomware: la differenza che conta

Un wiper distrugge i dati in modo definitivo, un ransomware li rende temporaneamente inaccessibili in cambio di denaro. GigaWiper adotta l’estetica del secondo e la sostanza del primo, e questo cambia radicalmente la risposta all’incidente.

Come difendersi dai malware distruttivi

Nel suo report Microsoft indica misure pensate per ambienti aziendali, ma la logica si applica anche a un laboratorio domestico ben tenuto. Le principali:

1. Protezione antimanomissione attiva: impedisce a un attaccante di disattivare le difese o aggiungere esclusioni antivirus senza privilegi elevati.
2. Protezione cloud dell’antivirus: i modelli di machine learning lato cloud bloccano la maggior parte delle varianti nuove e sconosciute.
3. EDR in modalità blocco: consente il blocco degli artefatti malevoli anche quando l’antivirus principale non li riconosce.
4. Regole di riduzione della superficie d’attacco, in particolare quella che blocca l’esecuzione di file eseguibili poco diffusi o non presenti in liste attendibili.
5. Blocco dell’infrastruttura C2 nota, sulla base delle fonti di threat intelligence disponibili.

A queste aggiungo la misura che nessun vendor può attivare al posto tuo: backup offline e scollegati, testati periodicamente in ripristino. Contro un impianto che cifra con chiavi che nessuno possiede, la copia fisicamente separata resta l’unica polizza che funziona.

Cosa sappiamo e cosa non sappiamo sull’attribuzione

Qui serve prudenza. Microsoft non attribuisce GigaWiper ad alcuno Stato o gruppo nominato: parla di “threat actor” senza ulteriori qualificazioni, pur sostenendo che lo stesso attore avrebbe sviluppato anche Crucio. Altre pubblicazioni hanno collegato l’impianto a un gruppo di area iraniana con obiettivi israeliani, citando analisi di terze parti. Si tratta di attribuzione riportata da fonti terze e non confermata nel report Microsoft: vale la pena tenerla distinta dai fatti tecnici, che invece sono documentati a livello di codice.

Fonte primaria completa: Microsoft Security Blog – GigaWiper: Anatomy of a destructive backdoor.

Domande frequenti sul malware GigaWiper

Che cos’è esattamente GigaWiper?

GigaWiper è una backdoor per Windows scritta in Go che integra tre payload distruttivi diversi. Microsoft Threat Intelligence l’ha documentata a luglio 2026, dopo aver osservato attività distruttive collegate a questo impianto a partire dall’ottobre 2025. Permette a un operatore remoto di spiare il sistema e, su comando, di cancellarne i dati in modo irreversibile.

Perché i file cifrati non si possono recuperare?

Perché la chiave non esiste più. Il comando di cifratura genera chiave e vettore di inizializzazione in modo casuale e non li salva da nessuna parte, né li invia all’attaccante. Non essendoci nemmeno una nota di riscatto, secondo l’analisi Microsoft l’attore non ha né la possibilità né l’intenzione di decifrare alcunché. È distruzione travestita da estorsione.

GigaWiper colpisce anche gli utenti privati?

Le attività osservate riguardano ambienti compromessi in modo mirato, non campagne di massa. Il malware viene installato dopo un’intrusione già riuscita, quindi il rischio per un PC domestico è legato principalmente alle porte d’ingresso: allegati, software pirata, siti e app fasulle. Le buone pratiche di igiene digitale restano la prima barriera.

Microsoft Defender rileva GigaWiper?

Sì, per i campioni noti. Microsoft dichiara coperture in Defender Antivirus e Defender for Endpoint con firme dedicate a GigaWiper, FlockWiper e ai comportamenti tipici del ransomware. Nessuna firma protegge però da varianti future: la protezione cloud e l’EDR in modalità blocco servono proprio a coprire ciò che le firme non vedono ancora.

Che differenza c’è tra un wiper e un ransomware?

Un ransomware rende i dati inaccessibili per estorcere denaro e conserva la chiave; un wiper li distrugge senza alcuna prospettiva di recupero. La distinzione è operativa oltre che teorica: davanti a un wiper la trattativa non esiste e l’unica leva di ripristino è il backup offline verificato.

Conclusione

GigaWiper mostra una direzione precisa: strumenti offensivi che si consolidano in piattaforme uniche, più efficienti da distribuire e più flessibili da usare. Per chi difende, il messaggio è meno spettacolare ma più utile: contro la distruzione irreversibile vincono le fondamenta, non i prodotti miracolosi. Backup separati, superficie d’attacco ridotta, telemetria che qualcuno guarda davvero.

Tu il tuo ultimo ripristino da backup quando l’hai testato per l’ultima volta? Scrivilo nei commenti, sono curioso di leggere quante persone rispondono onestamente.

#tuttelevitediunmaker