GigaWiper (BLUERABBIT): la caja de herramientas maliciosa que destruye Windows y espía desde dentro

Microsoft y Binary Defense han descrito un implante destructivo para Windows que, más que un solo programa, es una caja de herramientas maliciosa: GigaWiper (también identificado como BLUERABBIT en informes independientes) combina tres antiguas rutinas de borrado reenvasadas en Go con capacidades de espionaje y control remoto, lo que lo hace especialmente peligroso para víctimas que ya han sido comprometidas.

Lo que distingue a esta familia de malware no es una vulnerabilidad del sistema operativo sino la estrategia: se ejecuta después de haber alcanzado persistencia y ofrece al operador varias opciones de destrucción en caliente —borrado físico del disco, sobreescritura repetida de la unidad de Windows o un falso “ransomware” que cifra archivos con una clave que nunca se guarda— mientras mantiene funciones de exfiltración y vigilancia como captura de pantalla, grabación, VNC oculto y eliminación de registros de eventos. Ese disfraz de ransomware complica la respuesta inicial porque la incidencia puede parecer recuperable cuando, en realidad, los datos han quedado irrecuperables sin copias limpias fuera de línea.

El análisis técnico también revela tácticas de sigilo: el malware se hace pasar por OneDrive creando una tarea programada llamada OneDrive Update que se ejecuta cada minuto y se registra en HKCU\\SOFTWARE\\OneDrive\\Environment, esconde su canal de comando detrás de una regla de firewall con el nombre de un componente legítimo y reutiliza infraestructura empresarial legítima (RabbitMQ, Redis, MinIO) para que el tráfico de comando y control parezca benigno en entornos que ya usan esas tecnologías.

Las piezas de código rastrean linajes conocidos: Microsoft identifica vínculos con wipers previos como FlockWiper y con código de tipo “Crucio”, que en análisis anteriores ha sido relacionado con actores que atacaron infraestructura crítica. La convergencia de módulos distintos en un único backdoor significa que el propósito del ataque —espionaje o destrucción— es una decisión del operador una vez dentro, lo que impone un reto operativo para defensores que tradicionalmente intentaban inferir intención por la muestra encontrada.

Para organizaciones y responsables de seguridad la consecuencia práctica es clara: la seguridad perimetral y las actualizaciones no bastan si un atacante logra ejecutar código con permisos elevados. Por eso la defensa debe pivotar hacia detección temprana, limitación de impacto y recuperación probada. Actúe sobre la hipótesis de compromiso: verifique exhaustivamente tareas programadas y claves de registro con los nombres mencionados, audite el uso de Redis y RabbitMQ desde estaciones de trabajo, y monitorice procesos que recurran a takeown e icacls sobre archivos críticos del arranque fuera de ventanas de mantenimiento.

En el plano de controles técnicos, active la protección contra manipulación en las herramientas de endpoint, configure el modo de bloqueo en las soluciones de detección y respuesta, y habilite protección basada en la nube y remediación automática como recomendó Microsoft; bloquee a la red los servidores de comando conocidos y ponga reglas de restricción para servicios como MinIO, RabbitMQ y Redis para que no estén accesibles desde hosts finales. Además, revíselos y aplique segmentación de red para que servicios empresariales solo se comuniquen con los servidores autorizados, y mantenga la telemetría fuera del host —logs y backups inmutables y offline son la última línea de defensa contra wipers que eliminan claves y sobrescriben discos.

No olvide que las copias de seguridad son útiles solo si se prueban: valide regularmente restauraciones desde medios desconectados, mantenga versiones inmutables y políticas de retención que protejan contra borrados simultáneos, y prepare y ensaye un plan de respuesta que contemple recuperación total de sistemas críticos. La gestión de identidad y privilegios también importa: reduzca cuentas con permisos administrativos, exija MFA en accesos remotos y limite la capacidad de procesos para crear tareas programadas o modificar claves de registro sensibles.

En cuanto a investigación y caza de amenazas, incorpore búsquedas que identifiquen la tarea “OneDrive Update” que se ejecuta cada minuto, tráfico de RabbitMQ/Redis originado en estaciones de usuario y procesos que llamen a takeown/icacls sobre bootmgr o ntoskrnl.exe. Los indicadores concretos de artefactos, hashes y direcciones IP de comando y control están disponibles en los reportes técnicos; Microsoft publicó un informe detallado en su blog de seguridad y Binary Defense publicó su análisis independiente, que permiten correlacionar muestras e infraestructuras para la detección y el bloqueo. Consulte las fuentes primarias para obtener indicadores actualizados y mitigaciones puntuales: Microsoft Security Blog y Binary Defense Blog, y para contexto sobre campañas de wipers y su evolución vea el trabajo de Intel de amenazas como Unit 42 en Unit42.

En el plano estratégico, la aparición de plataformas como GigaWiper recuerda que los atacantes están modularizando herramientas para maximizar impacto: la misma pieza de malware que roba credenciales puede borrar sistemas. Esto exige a los equipos de seguridad pensar en controles de confianza cero, telemetría continuada y planes de resiliencia que consideren la pérdida total de activos. Si su organización depende de servicios empresariales que faciliten el camuflaje del tráfico, haga revisiones de arquitectura y cuartee cualquier uso inusual desde endpoints. La inversión en detección temprana y en recuperación probada es, en estos casos, más efectiva que perseguir parches post facto.

Finalmente, recuerde que la atribución y motivación política son importantes para contexto, pero no para la respuesta inmediata: la prioridad operativa es contener, recuperar y aprender. Mantenga canales de comunicación con sus proveedores de seguridad, comparta indicadores con socios sectoriales y coordine con autoridades nacionales cuando sea apropiado para reducir el riesgo colectivo frente a amenazas que combinan robo y destrucción a voluntad del atacante.