GigaWiper: o vírus que espia, finge e apaga tudo

Microsoft revelou um malware que vigia silencioso por meses — e destrói o HD completo em um único comando remoto

Em 9 de julho de 2026, a Microsoft publicou a análise de um dos malwares mais sofisticados já documentados em Windows: o GigaWiper. Ele não é um vírus comum. É uma plataforma de ataque completa — que vigia, rouba, engana e destrói, nessa ordem.

A descoberta foi em outubro de 2025. A empresa esperou oito meses para divulgar. Durante esse tempo, o malware operou silenciosamente em organizações comprometidas.

O que ele faz — e por que é diferente

A maioria dos malwares tem um objetivo único: roubar dados, pedir resgate, ou travar o sistema. O GigaWiper faz os três — e deixa o atacante escolher quando e como agir, semanas ou meses após a infecção.

Tecnicamente, é um backdoor — uma porta dos fundos no sistema, invisível para o usuário — escrito em Go, a linguagem de programação do Google. Não foi criado do zero: seus criadores pegaram peças de pelo menos três malwares já existentes e montaram uma única ferramenta modular. A imprensa técnica já o apelidou de "Frankenstein dos malwares".

Os três modos de destruição

O GigaWiper tem 20 comandos numerados. Três deles destroem a máquina:

Comando 1 — Raw Disk Wiper Apaga fisicamente todos os discos da máquina, sobrescrevendo dados com padrões aleatórios e destruindo a tabela de partição — a estrutura que diz ao sistema operacional onde cada arquivo está. Resultado: nem ferramentas forenses conseguem recuperar nada.

Comando 2 — Falso Ransomware Criptografa todos os arquivos com uma chave gerada aleatoriamente que nunca é salva. Exibe uma tela de resgate pedindo pagamento. A vítima paga. A chave não existe. Era destruição permanente disfarçada de sequestro.

Comando 3 — Multi-Pass Wiper Sobrescreve os dados múltiplas vezes com padrões diferentes — técnica usada especificamente para impedir qualquer tentativa de recuperação, mesmo por laboratórios especializados.

O que acontece antes da destruição

O GigaWiper não destrói na chegada. Primeiro, ele observa.

Silenciosamente, o malware captura screenshots, grava a tela em vídeo, rouba arquivos, executa comandos no sistema e coleta informações da rede. Toda essa comunicação acontece via RabbitMQ e Redis — ferramentas legítimas usadas por empresas — o que faz o tráfego malicioso parecer comunicação corporativa normal.

Para persistir sem ser detectado, o malware cria tarefas agendadas com o nome "OneDrive Update" e regras de firewall chamadas "Microsoft.Windows.CloudExperienceHost" — nomes que qualquer administrador ignoraria por parecerem serviços legítimos do Windows.

A destruição vem quando o operador decide acionar — com um único comando remoto.

Quem está em risco

Empresas e organizações: risco alto, especialmente sem EDR — sistema de monitoramento contínuo que analisa o comportamento de cada processo em tempo real, não apenas verifica assinaturas de vírus conhecidos.

Usuários domésticos: risco baixo. O GigaWiper é uma arma de precisão contra alvos corporativos, não um vírus de distribuição em massa.

Os alvos confirmados até agora são entidades em Israel, segundo o Google Threat Intelligence Group e Binary Defense — que rastreiam o mesmo malware sob o codinome BLUERABBIT e o associam a um grupo com nexo iraniano. A Microsoft, em seu relatório oficial, não fez atribuição a nenhum país.

Como se proteger

Prevenção:

Atualizar o Microsoft Defender — as assinaturas do GigaWiper foram liberadas em 9 de julho
Monitorar tarefas agendadas com nome "OneDrive Update" não autorizadas
Monitorar regras de firewall com nome Microsoft.Windows.CloudExperienceHost criadas sem autorização
Manter backups offline imutáveis — cópias em dispositivos completamente desconectados da rede, que o malware não consegue alcançar

Se já comprometido:

Não reinicializar — capturar imagem de memória e disco antes de qualquer ação
Resetar todas as credenciais de domínio imediatamente
Não tentar limpar: reconstruir do zero a partir de backup verificado
Confirmar que os backups não foram apagados ou criptografados antes de restaurar

O precedente que explica tudo

Em 2017, o NotPetya — atribuído à inteligência militar russa — usou exatamente a mesma lógica: disfarçou destruição irreversível de disco como uma tela de ransomware. O dano global foi de US$ 10 bilhões. As vítimas achavam que podiam recuperar os dados. Não podiam.

O GigaWiper segue o mesmo manual — com ferramentas mais modernas, mais modulares e muito mais difíceis de detectar.