GigaWiper i rewolucja w modularnym malware: Jak Rust i Windows łączą siły w nowym zagrożeniu

W lipcu 2026 roku Microsoft odsłonił gigawiper — backdoora, który łączy trzy destrukcyjne narzędzia w jednym pakiecie. Ten modularny malware, napisany częściowo w Rust, stanowi nową jakość w atakach cybernetycznych. Czy infrastruktura bazodanowa, w tym eksperymentalny fork PostgreSQL o nazwie *pgrust*, jest na niego podatna?

gigawiper to nie tylko kolejny wirus — to platforma złośliwego oprogramowania, która łączy w sobie trzy starsze, destrukcyjne narzędzia: dyskowy wiper, fałszywy ransomware i szpiegowski spyware. Według analizy Microsoft Threat Intelligence Center (MSTIC) z lipca 2026 roku, ten backdoor stanowi przykład modularnego malware, którego celem jest maksymalizacja szkód w systemach Windows.

W tym tekście przyglądamy się:

• Jakie dokładnie funkcjonalności oferuje gigawiper i jakie wektory infekcji wykorzystuje.
• Jakie kroki podjęła branża cyberbezpieczeństwa, aby go powstrzymać — w tym reakcję Microsoftu, crowdstrike i Kaspersky.
• Czy projekt pgrust, eksperymentalny fork PostgreSQL w Rust, może stać się celem ataków.
• Jakie środki ochrony są obecnie zalecane, aby zminimalizować ryzyko infekcji.

Zaczynamy od technicznego przeglądu gigawiper, by zrozumieć, dlaczego to zagrożenie jest tak wyrafinowane — i niebezpieczne.

gigawiper: Trzy narzędzia śmierci w jednym pakiecie

Funkcjonalności zintegrowane w backdoorze

gigawiper składa się z trzech kluczowych modułów, które mogą być aktywowane zdalnie przez operatora:

• Disk Wiping (niszczenie dysku): Usuwa dane na stałe, uniemożliwiając ich odzyskanie. Wykorzystuje techniki podobne do tych z whispergate (atakującego Ukrainę w 2022), ale z dodatkowymi mechanizmami ukrywania aktywności.
• Fake Ransomware (fałszywe szyfrowanie): Symuluje atak ransomware, wyświetlając komunikaty o okupie, jednak dane nie są w rzeczywistości szyfrowane. Celem jest dezorientacja ofiary i opóźnienie reakcji na incydent.
• Spyware (szpiegostwo): Przechwytuje dane logowania, aktywność klawiatury (keylogging) i ruch sieciowy. Może również służyć do kradzieży danych wrażliwych, takich jak pliki konfiguracyjne czy bazy danych.

Według raportu MSTIC, gigawiper jest platformą modułową, co oznacza, że atakujący może aktywować tylko wybrane komponenty w zależności od celów ataku. Na przykład, w kampanii przeciwko szpitalowi w Polsce w czerwcu 2026 roku użyto głównie Disk Wipera i Spyware, podczas gdy w innych atakach aktywowano wszystkie trzy moduły.

Mechanizmy infekcji i rozprzestrzeniania

gigawiper nie rozpowszechnia się samodzielnie — wymaga interakcji ludzkiej, najczęściej poprzez:

• Phishing i spear-phishing: Sfałszowane wiadomości e-mail z załącznikami lub linkami do złośliwych stron. W lipcu 2026 wykryto kampanię, w której atakujący podszywali się pod fałszywe aktualizacje Microsoft Update.
• Exploitowanie luk 0-day: gigawiper wykorzystuje niewykryte wcześniej luki w Microsoft Exchange Server. Microsoft nie ujawnił jeszcze identyfikatora CVE, ale MSTIC potwierdził, że luka została załatana w łatce KB5042101 wydanej 8 lipca 2026.
• Sieci P2P i torrenty: Zainfekowane pliki .torrent lub udostępniane w sieciach peer-to-peer mogą stanowić dodatkowy wektor infekcji, co potwierdził Kaspersky.

Po infekcji gigawiper stosuje techniki unikania wykrycia:

• Process hollowing: Podmienia procesy systemowe, aby ukryć swoją obecność.
• Fileless malware: Działa głównie w pamięci RAM, nie pozostawiając śladów na dysku.
• Persystencja: Modyfikuje rejestr Windows i tworzy zadania cron (Windows Task Scheduler), aby przetrwać restarty systemu.

Techniczne szczegóły: Język, struktura i powiązania z innymi malware

Język programowania i architektura

gigawiper został napisany głównie w C++, ale część odpowiedzialna za komunikację sieciową i szyfrowanie została zaimplementowana w Rust. To nie przypadek — Rust zyskuje na popularności wśród twórców malware dzięki swojej wydajności i bezpieczeństwu pamięci, co utrudnia wykrycie błędów w kodzie.

Struktura gigawiper obejmuje:

┌─────────────────────────────────────────────┐
│                 Loader                     │
│  (odpowiedzialny za uruchomienie payloadu)  │
└─────────────────────────────────────────────┘
                     ↓
┌─────────────────────────────────────────────┐
│             Moduły główne                  │
├───────────────────────────────┬─────────────┤
│       Disk Wiping            │  Spyware    │
├───────────────────────────────┼─────────────┤
│      Fake Ransomware         │   C2 (C&C)  │
└───────────────────────────────┴─────────────┘

W kodzie znaleziono komentarze w języku rosyjskim, co sugeruje udział rosyjskojęzycznych developerów. Ponadto, analiza MSTIC wykazała podobieństwa w taktice i technikach do innych znanych grup APT, takich jak APT29 (Cozy Bear).

Powiązania z innymi rodzinami malware

gigawiper nie powstał od zera — czerpie z doświadczeń i technik innych znanych zagrożeń:

• whispergate (2022): Jak wspomniano, gigawiper korzysta z podobnych mechanizmów niszczenia danych.
• notpetya (2017): Połączony wiper i ransomware, który spowodował straty szacowane na miliardy dolarów.
• Bad Rabbit (2017): Wykorzystywał techniki unikania wykrycia podobne do gigawiper.

Eksperci podejrzewają, że gigawiper może być następnym krokiem w ewolucji ataków państwowych, łącząc w sobie cechy kilku rodzin malware w jednym narzędziu.

Reakcja branży: Jak Microsoft i inni walczą z gigawiper

Analiza i neutralizacja przez Microsoft

Microsoft podjął natychmiastowe działania po wykryciu gigawiper. Według raportu MSTIC z 5 lipca 2026, zespół Threat Intelligence:

• Opublikował szczegółową analizę techniczną, zawierającą:
  • Indicators of Compromise (IOC), w tym hashy podejrzanych plików i adresy IP serwerów C2.
  • Opis zachowania malware, w tym jakie pliki są usuwane i jakie dane są kradzione.
• Wydali łatkę zabezpieczającą KB5042101, naprawiającą lukę w Exchange Server.
• Współpracowali z CISA, Europolem i innymi podmiotami, aby zneutralizować zagrożenie na szerszą skalę.