Un couteau suisse du sabotage, sauf que toutes les lames servent à vous nuire. Microsoft dit avoir décortiqué GigaWiper, un malware Windows capable d’effacer des données de façon irréversible tout en offrant aux attaquants un accès à distance complet. Bonne nouvelle : le risque ne concerne pas le premier venu.
Selon Microsoft Threat Intelligence, GigaWiper a été observé dans des intrusions depuis octobre 2025. L’implant, écrit en Go, réunit dans un même paquet plusieurs briques issues de familles déjà connues : sabotage, surveillance et commande à distance. Redmond attribue l’activité à CyberAv3ngers, un groupe lié à l’Iran.
Points clés
- GigaWiper est une backdoor Windows en Go combinant wiper, faux ransomware et contrôle distant, observée depuis octobre 2025
- Le faux chiffrement ajoute l’extension .candy sans conserver de clé : aucune récupération possible
- Microsoft attribue l’activité à CyberAv3ngers, groupe lié à l’Iran, dans des attaques ciblées et non des campagnes de masse
- Le risque vise surtout les organisations déjà compromises, pas les particuliers
Un implant modulaire pour espionner puis anéantir
GigaWiper n’est pas un simple wiper. Il s’agit d’une backdoor embarquant une vingtaine de commandes réparties entre destruction, prise de contrôle et administration du système. Trois d’entre elles servent directement à casser la machine : un effacement du disque au niveau physique, un autre ciblant la partition Windows, et un mode de chiffrement factice qui ajoute l’extension .candy sans jamais conserver de clé de déchiffrement. Le nom sonne inoffensif. Le résultat l’est nettement moins.
Le malware peut aussi prendre des captures d’écran, enregistrer l’activité, lancer des commandes PowerShell, effacer les journaux Windows et ouvrir une session de contrôle distant de type VNC. Le même implant sert donc à préparer l’attaque, surveiller la victime, puis la détruire si l’opérateur le décide.
« Nous avons découvert GigaWiper, une backdoor destructrice qui combine dans un seul implant plusieurs capacités d’effacement et de faux ransomware. » Microsoft Threat Intelligence
Les analyses publiées relèvent aussi l’usage d’une tâche planifiée déguisée en mise à jour OneDrive pour relancer le programme après démarrage. La persistance, toujours la persistance.
Qui est réellement exposé
La vraie question : faut-il paniquer ? Non, pas si vous êtes un particulier lambda. Le malware a surtout été repéré dans des intrusions ciblées, pas dans une campagne de masse. Les cibles sont d’abord les organisations déjà compromises, dont l’environnement Windows a été atteint par un accès initial puis maintenu actif.
Microsoft affirme que ses défenses détectent déjà GigaWiper et ses composants. Les recommandations sont classiques : surveiller les tâches planifiées suspectes, les modifications des paramètres de récupération Windows, les opérations anormales sur les disques et les signes d’accès distant inattendu.
Le danger immédiat vise donc les administrateurs et les équipes de sécurité déjà aux prises avec un intrus installé. Pour un poste sans compromission préalable, le risque reste faible. La logique de l’outil est celle d’une attaque ciblée, avec destruction finale des données comme point d’orgue.
Détruire plutôt que monétiser
Les comptes rendus convergent : GigaWiper mélange des codes d’au moins trois familles distinctes, dont Crucio pour le faux ransomware et FlockWiper pour une variante d’effacement. Microsoft y voit une plateforme destructive plutôt qu’un simple outil jetable.
L’approche tranche avec les ransomwares classiques, qui cherchent d’abord à monétiser l’accès. Ici, les clés de chiffrement ne sont pas conservées : impossible de récupérer quoi que ce soit une fois la fonction déclenchée. Le but n’est pas de négocier mais d’effacer.
Les meilleures défenses restent celles qui limitent l’accès initial, isolent les sauvegardes et repèrent vite un comportement anormal. Pour les entreprises déjà infiltrées, GigaWiper ajoute une menace de plus : transformer un accès caché en perte de données totale.
