監視から一瞬でデータ破壊へ移行するWindowsバックドア「GigaWiper」の脅威、Microsoftらが解析結果を公開

Microsoftの脅威インテリジェンスチームは2026年7月9日、Windowsを標的とした高度なモジュール型バックドア「GigaWiper」の解析結果を公開した。このマルウェアは、ネットワークの監視やデータ窃取を行う一方で、攻撃者のコマンド一つで感染マシンの全ディスクを永久に破壊する機能を備えている。監視モードでの動作が確認された時点で、すでに事業継続の危機に直面していると捉えるべきだと専門家は警鐘を鳴らしている。

■1つのインプラントに潜む3つの破壊兵器

GigaWiperは20個のコマンドコードをサポートしており、そのうち3つがマシンを破壊する機能を持つ。攻撃者は侵入後にこれらを任意に組み合わせて実行できる。

「コマンド1（Raw disk wiper）」は、Windows Management Instrumentation（WMI）を使用して物理ディスクを列挙し、パーティションメタデータを削除した上で、ディスク全体を上書きする。Microsoftによると、防御ツールの検知を避けるため、ゼロ埋めバッファの最初の1バイトをランダム化する工夫が施されているという。このコマンドが実行されるとシステムは強制的に再起動され、ディスク構造そのものが消去されるため、ファイル単位での復旧は不可能となる。

「コマンド3（偽ランサムウェア）」は、ファイルを暗号化して拡張子を「.candy」に変更し、デスクトップの壁紙を身代金要求画面に変える。しかし、暗号化キーはランダムに生成され、どこにも保存・送信されないため、復号は構造的に不可能である。これは、インシデント対応チームに交渉可能と思わせて対応を遅らせるための偽装工作である。Microsoftはこのモジュールを「Crucio」ランサムウェアと直接関連付けている。Crucioは、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）の2023年のアドバイザリで、イランのイスラム革命防衛隊サイバー電子軍（IRGC-CEC）傘下の「CyberAv3ngers」が使用するツールとして報告されている。米国務省は同グループに関する情報に最大1000万ドル（約16億2000万円、1ドル＝162円換算）の懸賞金を提示している。

「コマンド12（Windowsドライブワイパー）」は、Windowsのシステムドライブを標的に、ゼロ、0xFF、ランダムバイトを交互に複数回上書きする。Microsoftは、これをGo言語で再実装された「FlockWiper」であると評価している。

■監視から即座に破壊へ移行する脅威

GigaWiperの非破壊コマンドには、スクリーンショットのキャプチャ、画面録画、VNC風のリモートデスクトップアクセス、PowerShell実行、プロセス管理、レジストリ編集、MinIOを介したデータ転送、イベントログの消去などが含まれる。

また、キーロガー機能を示唆する未実装のコマンドスタブ（コマンド11）や、開発中とみられる追加のワイパースタブも発見されている。

この設計が意味するのは、GigaWiperが監視モードで動作していても、攻撃者が次のコマンドで即座に破壊を実行できるため、アクティブなワイパーと同等の脅威として扱う必要があるということだ。フォレンジック調査のためにシステムを温存しようとする標準的な初期対応は、この脅威モデルには通用しない。

■正規のエンタープライズツールをC2通信に悪用

GigaWiperは、RabbitMQ（AMQPプロトコル）、Redis、MinIO（S3互換）という、多くの企業で正規に導入されている3つのプラットフォームをC2（コマンド＆コントロール）通信に悪用する。Microsoftは、特定のIPアドレス（185.182.193[.]21や212.8.248[.]104）を使用したアクティブなインフラを観測している。

これらの正規サービスが発する通信は、一般的なセキュリティ製品のシグネチャ検知をすり抜けるため、ネットワーク上での検知が極めて困難である。また、RabbitMQのブロードキャスト機能（fanout exchange）を利用して、感染した全ホストに対して一斉に破壊コマンドを送信することも可能となっている。

■OneDriveへのなりすましと永続化

GigaWiperは、Windows環境におけるMicrosoftサービスへの信頼を悪用する。初回実行時にレジストリキー「HKCU\SOFTWARE\OneDrive\Environment」を確認し、存在しない場合は作成して「OneDrive Update」という名前のタスクをスケジュール登録する。このタスクは60秒ごとに実行され、プロセスを強制終了しただけでは感染を排除できない。

また、VNC接続を開く際には、正規のWindowsコンポーネントを装った「Microsoft.Windows.CloudExperienceHost」という名前のファイアウォール規則を作成し、不審な接続を隠蔽する。

■Go言語で再構築された「NotPetya」のプレイブックと地政学的背景

GigaWiperの偽ランサムウェアモジュールは、2017年に世界中で甚大な被害をもたらした「NotPetya」の手法を踏襲している。NotPetyaはランサムウェアを装った破壊ツールであった。GigaWiperも同様に、復旧不可能な破壊を行いながらランサムウェアの画面を表示し、被害者が復号キーを探したり交渉を準備したりしている間に、システムの隔離やバックアップからの復旧を遅らせる。

この活動の背景には地政学的な緊張がある。2026年2月28日に始まった米国とイスラエルによるイランへの共同軍事攻撃「Operation Epic Fury」以降、イラン関連グループによるイスラエル組織を標的にしたサイバー攻撃が急増している。Palo Alto NetworksのUnit 42やCheck Point Researchなども、同様のイラン関連グループによる破壊的なワイパー活動を報告している。

■開発者の特定と「GRAT」フレームワークの謎

Microsoftは、GigaWiper、Crucio、FlockWiperの3つのマルウェアファミリーが同一の開発者によって作成されたと分析している。その根拠として、共通の関数名（「BigBangExtortMain」など）、コードロジックの類似性、そしてデバッグパスや関数名に繰り返し登場する「GRAT」という文字列を挙げている。

この「GRAT」という文字列は、現在確認されているバイナリには機能として含まれておらず、未だ発見されていないより広範なフレームワークの存在を示唆している。

Microsoftは特定の国家への帰属を明言していないが、Binary DefenseやGoogle Threat Intelligence Groupは、2025年6月に「BLUEWIPE」や「SEWERGOO」を展開したイラン関連の活動クラスターと同一であると評価している。

■検出と防御の対策

MicrosoftはYARAルールやDefenderの検知シグネチャを公開している。防御担当者が優先すべき対策は以下の通りである。

1. **OneDriveなりすましの監視**：「OneDrive Update」というスケジュールタスクや、不審なプロセスによるレジストリ変更、および「Microsoft.Windows.CloudExperienceHost」というファイアウォール規則を監視する。

2. **RabbitMQ、Redis、MinIOの通信監査**：正規プラットフォームを悪用したC2通信を検知するため、これらのサービスへの予期しない接続や、未承認のインストールを振る舞い検知で捉える。

3. **身代金要求のないランサムウェアへの警戒**：暗号化の兆候がありながら身代金要求文書がなく、復号キーが特定できない場合は、即座にワイパーと判断してバックアップからの復旧を開始する。

4. **オフラインおよび不変（イミュータブル）バックアップの検証**：GigaWiperは物理ディスクを直接破壊するため、OS層からのフォレンジック復旧は不可能である。クリーンなオフラインバックアップと、全ディスク喪失を想定した復旧手順のテストが不可欠となる。

■注目ポイントQ&A

●GigaWiperとはどのようなマルウェアで、どのように動作しますか？

GigaWiperは、Go言語で書かれたWindows向けの高度なバックドアです。監視やデータ窃取を行う一方で、攻撃者のコマンドによって感染マシンの全ディスクを物理的に破壊したり、復号不可能な偽のランサムウェアを実行したりする機能を備えています。

●GigaWiperによる被害からファイルを復旧することはできますか？

いいえ、不可能です。GigaWiperのランサムウェア機能は、暗号化キーをランダムに生成して破棄するため、復号は構造的に不可能です。これは防御側の対応を遅らせるための偽装工作であり、被害に遭った場合は即座にバックアップからの復旧を行う必要があります。

●GigaWiperの背後にいるのは誰ですか？

Microsoftは特定の国家を名指ししていませんが、Binary DefenseやGoogle Threat Intelligence Groupは、イランに関連する脅威アクターによるものと分析しています。また、組み込まれているコードの一部は、米政府がイラン革命防衛隊（IRGC）に関連付けているグループ「CyberAv3ngers」のツールと一致しています。

元記事: GigaWiper: Modular Windows Backdoor Combines Disk Wiper, Fake Ransomware, Spyware