مايكروسوفت تكشف عن باب خلفي جديد GigaWiper يدمج ثلاث عائلات من برامج المسح في واحد

تشريح أداة مسح معيارية

GigaWiper ليس برنامجًا ضارًا مصممًا لغرض واحد. إنه مزيج من عائلات منفصلة تم تجميعها كأوامر باب خلفي عند الطلب. وجدت مايكروسوفت أن الملف الثنائي للمسح المستقل الذي رصدته لأول مرة في أكتوبر 2025 كان مجرد مكون واحد من باب خلفي أكبر أعاد أيضًا تطبيق كود من عائلتين أقدم من البرامج الضارة: برنامج الفدية Crucio وFlockWiper، وهو أداة مسح مبنية على لغة C تم نقلها إلى Golang.

يتواصل الباب الخلفي عبر RabbitMQ لتلقي الأوامر وRedis لتحديثات الحالة. يحدد الثبات عبر مهمة مجدولة تُدعى OneDrive Update، ويتتبع عدد مرات تنفيذه في السجل، ويوفر للمهاجمين 20 أمرًا تتراوح بين تسجيل الشاشة ومسح الأقراص.

برامج المسح الثلاثة بالداخل

بالإضافة إلى أداة مسح الأقراص المستقلة (الأمر 1)، يتضمن GigaWiper أمرين تدميريين إضافيين:

• الأمر 3، قام بتشفير الملفات باستخدام AES-CBC بمفاتيح عشوائية لم يتم حفظها أبدًا، وأعاد تسميتها بامتداد .candy، وأسقط صورة خلفية. تتبعت مايكروسوفت هذه الوظيفة، BigBangExtortMain، مباشرة إلى برنامج الفدية Crucio الموثق في استشارة CISA الصادرة في ديسمبر 2023. لم يكن لدى البرنامج الضار أي آلية أو نية لفك تشفير الملفات.
• الأمر 12، WipeCMain، والذي يقوم بمسح محرك تثبيت Windows فقط باستخدام الكتابة متعددة المرات. حددت مايكروسوفت هذا كإعادة تطبيق Golang لـ FlockWiper، وهو برنامج ضار مبني على لغة C تم تحميله لأول مرة إلى VirusTotal في يونيو 2025. تشير مسارات PDB في عينات FlockWiper إلى “GRAT”، وهي سلسلة تظهر أيضًا في عدة أسماء وظائف GigaWiper.

وجود الثلاثة يجعل GigaWiper نوعًا من سكين الجيش السويسري للمسح: يختار المهاجم أي نوع من التدمير يناسب الهدف.

كيف يعمل الباب الخلفي

يستخدم GigaWiper قناتي اتصال. يتلقى الأوامر عبر RabbitMQ بواسطة AMQP، مع تبادل بث يُدعى “All” للإرسال الجماعي وتبادل موضوع للأوامر المستهدفة. يقوم بتحميل النتائج إلى خادم Redis. عينة واحدة تم رصدها اتصلت بخادم القيادة والتحكم في 185.182.193[.]21 على المنفذ 5544 لـ RabbitMQ و7542 لـ Redis.

يحدد الثبات عن طريق إنشاء مهمة مجدولة تعمل كل دقيقة وعند بدء تشغيل النظام. يتتبع الباب الخلفي عدد مرات تنفيذه في HKCU\SOFTWARE\OneDrive\Environment. في التشغيل الأول، يقوم بإنشاء المهمة ويخرج؛ التشغيلات اللاحقة تستمر بشكل طبيعي.

تشمل الأوامر تشفير الملفات، التقاط لقطات الشاشة، تسجيل الشاشة، إدارة العمليات، التلاعب بالسجل، مسح سجل الأحداث، وحتى خادم يشبه VNC للتحكم عن بعد.

سلسلة الأدلة

شاركت مايكروسوفت علنًا تجزئات SHA-256 لعينات متعددة من GigaWiper وCrucio وFlockWiper. عينة:

تشمل عناوين IP لخادم القيادة والتحكم 185.182.193[.]21 و212.8.248[.]104.

تحول تشغيلي

أشارت مايكروسوفت إلى أن دمج قدرات تدميرية متعددة في باب خلفي واحد يعكس تحولًا ملحوظًا. عادةً ما تُصمم برامج المسح للدمار فقط، وليس للابتزاز أو الحفاظ على الثبات. يتيح GigaWiper للجهة الفاعلة الانتقال من التجسس إلى التدمير عند الطلب، مما يقلل من مساحة النشر.

تتتبع Google Threat Intelligence Group وBinary Defense نفس النشاط تحت اسم BLUERABBIT. شاركت مايكروسوفت اكتشافات لـ Defender Antivirus وDefender for Endpoint، بما في ذلك تنبيهات مثل تم اكتشاف برنامج ضار 'GigaWiper' وتم اكتشاف برنامج ضار 'FlockWiper'.

توصيات الدفاع

نصحت مايكروسوفت المؤسسات بتمكين الحماية من العبث، ومنع الوصول المباشر إلى بنية خادم القيادة والتحكم المعروفة، وتفعيل الحماية المدعومة بالسحابة، وتشغيل EDR في وضع الحظر. يمكن لقواعد تقليل سطح الهجوم أيضًا تعزيز البيئة ضد التقنيات التي يستخدمها GigaWiper.