“Microsoft” Windows sistemlərini sıradan çıxaran “GigaWiper” zərərli proqramı barədə xəbərdarlıq edib

“Microsoft” şirkəti “Windows” əməliyyat sistemli kompüterlərin uzaq məsafədən idarə olunmasına və sistemdəki məlumatların geri qaytarıla bilməyəcək şəkildə məhv edilməsinə imkan verən “GigaWiper” adlı yeni zərərli proqram barədə məlumat yayıb.

Zərərli proqram sistemə daxil olduqdan sonra davamlılığı təmin etmək məqsədilə özünü “OneDrive Update” adı altında gizlədən planlaşdırılmış tapşırıq (Scheduleld task) yaradır. Sözügedən tapşırıq sistem işə salındıqda və sonrakı mərhələdə hər dəqiqədən bir icra olunur. “GigaWiper” operatorlardan komandaları “RabbitMQ” serverləri vasitəsilə qəbul edir və icra nəticələrini “Redis” infrastrukturu üzərindən ötürür.

“Microsoft”un məlumatına görə zərərli proqram bir neçə dağıdıcı funksiyaya malikdir. Bu funksiyalardan biri disk bölmələri haqqında məlumatları silmək, fiziki yaddaş qurğularındakı məlumatların üzərinə yeni məlumatlar yazmaq və sistemi məcburi şəkildə yenidən başlatmaqdır. Digər funksiyası isə yalnız “Windows” əməliyyat sisteminin quraşdırıldığı disk bölməsini hədəf alaraq onun məlumatlarını geri qaytarılması mümkün olmayan şəkildə silməkdir. Zərərli proqram, həmçinin, faylları şifrələyərək onların uzantısına “.candy” əlavəsini daxil edir. Lakin şifrələmə açarları təsadüfi şəkildə yaradıldığı və saxlanılmadığı üçün məlumatların bərpası mümkün olmur.

“GigaWiper” ümumilikdə 20 fərqli komanda kodunu dəstəkləyir. Bu komandalar vasitəsilə “PowerShell” əmrlərinin icrası, kompüter və antivirus proqramları haqqında məlumatların toplanması, proseslərin və “Windows” xidmətlərinin idarə olunması mümkündür.

Zərərli proqram, həmçinin, sistem reyestrində dəyişiklik edə, ekran görüntüləri çəkə, qoşulmuş monitorlardakı fəaliyyəti qeydə ala, “Windows” hadisə jurnallarını silə və faylları uzaq serverlərə yükləyə bilir. Bundan əlavə, VNC texnologiyasına bənzər məsafədən giriş funksiyası operatorlara yoluxdurulmuş kompüterin ekranını izləmək, eləcə də klaviatura və siçan vasitəsilə sistemi idarə etmək imkanı verir. Bunun üçün zərərli proqram “Windows Firewall” qaydalarında dəyişiklik edərək uzaq məsafədən bağlantıya icazə yaradır.

“Microsoft” bildirir ki, “GigaWiper” dağıdıcı funksiyalar aktivləşdirilməzdən əvvəl uzun müddət sistemdə qala, müşahidə və məsafədən idarəetmə məqsədilə istifadə oluna bilər.

“Microsoft Defender” təhlükəsizlik həllində “GigaWiper” və onunla əlaqəli komponentlərin aşkarlanması üçün müvafiq mexanizmlər mövcuddur. Şirkət təşkilatlara “Tamper Protection”, bulud əsaslı antivirus müdafiəsi və bloklama rejimində işləyən EDR funksiyalarını aktivləşdirməyi tövsiyə edib.