Windowsを破壊する新たなバックドア「GigaWiper」が判明、偽ランサムウェアやスパイ機能を統合

要点

• Microsoftは、3つの破壊用プログラムを統合したWindows向けバックドア「GigaWiper」の解析情報を公表した。

• 本マルウェアは、ディスクの物理上書き、復号キーを保存しない偽のランサムウェア、OSドライブ消去という3つの方法でデバイスを完全に破壊する。

• 破壊行為のみならず、画面の監視・録画や遠隔操作のための通信チャネルといった高度なスパイ機能も備えている。

• 正規の通信ツールであるRabbitMQやRedisなどを悪用し、社内の通常トラフィックを装ってネットワーク検知を回避する。

• セキュリティ企業などの調査により、イラン政府との関連が疑われる攻撃グループが主にイスラエルの組織を標的に使用している可能性が指摘されている。

• 米Microsoftは2026年7月9日、感染したWindows搭載PCを徹底的に破壊し、スパイ活動も行う新型マルウェア「GigaWiper（ギガワイパー）」の解析情報を公表した。本マルウェアは、過去に確認された3つの破壊用プログラムを1つに統合したバックドア（外部からの不正侵入経路）である。攻撃者が複数の破壊手段からコマンドを選択して実行できる設計になっているという。

3つのアプローチでPCを徹底破壊

GigaWiperはプログラミング言語のGoで開発されており、Windows上で動作する。システムを破壊するための3種類のコマンドを備えているのが特徴だ。

第1のコマンドは「RAWディスクワイパー」だ。物理ドライブをデータで上書きし、ディスクの区画情報を管理する「パーティションテーブル（ディスク内の区画割り当てを管理する情報）」を消去した上でPCを強制的に再起動させる。ファイル単位の削除ではないため、データの復元は極めて困難だ。

第2は、過去のマルウェア「Crucio（クルシオ）」を基にした「偽のランサムウェア」だ。ランサムウェアとはデータを暗号化して身代金を要求する不正プログラムだが、GigaWiperはファイルを暗号化して拡張子「.candy」に変更し、壁紙を警告画像に変えるものの、身代金を請求せず復号キーも保存しない。お金を支払ってもデータを元に戻す手段は存在せず、実質的にはランサムウェアを模した復元不可能な破壊ツールとして機能する。

第3は、WindowsのOSドライブを特定のデータパターンで複数回上書きし、起動不能にする機能だ。これはかつて同社が「FlockWiper（フロックワイパー）」として追跡していたワイパー（データ消去プログラム）のGo言語による書き直しである。

いずれの破壊コマンドが実行された場合もデータは完全に失われ、システムを復旧するにはクリーンな状態のバックアップから再構築する以外に方法はない。

巧妙なスパイ機能と検知回避のテクニック

GigaWiperは単にPCを破壊するだけでなく、バックドアとしてシステム内に潜伏し、スパイ活動を行う能力もある。モニターのスクリーンショット撮影や画面録画、遠隔操作用の隠しVNC（ネットワーク経由で画面操作を行う遠隔管理技術）セッションの開設機能などを備え、システム情報収集やレジストリ（Windowsの設定情報データベース）編集、イベントログ消去も実行できる。

検知を免れるためのカモフラージュ手法も高度だ。「OneDrive Update」という名前でタスクスケジューラに登録し、Microsoftの正規ストレージサービス「OneDrive」の更新処理を装って1分ごとに起動する。

さらに、外部の指令サーバーと通信する際にも、正規のWindowsコンポーネントである「Microsoft.Windows.CloudExperienceHost」の名を騙ったファイアウォールルールを利用して通信経路を隠蔽する。加えて、通信自体も企業で広く使われるRabbitMQやRedis、MinIOなどのオープンソースツールを悪用してトラフィックを偽装する。これにより、監視ネットワーク上では一般的な業務データに見え、異常なアクセスとして検出されにくくなっている。

開発元とイラン系ハッカー集団の関連

Microsoftの分析によると、GigaWiperのコードは「Crucio」および「FlockWiper」と一致しており、同一の開発者によって構築されたとみられている。

Microsoft自体は攻撃元の国名を明言していないが、Crucioのコードは、イランのイスラム革命防衛隊（IRGC）と関係があるとされる攻撃グループ「CyberAv3ngers（サイバーアベンジャーズ）」のものとして2023年12月の米CISAアドバイザリに掲載されていた。

また、セキュリティ企業Binary Defenseは、今回のファイルを「BLUERABBIT（ブルーラビット）」という名称で2026年6月に公表しており、ハッシュ値（ファイル固有の識別値）や指令サーバーのアドレスが一致することを確認した。同社はGoogleの情報を引用し、イラン政府関連グループが主にイスラエルの組織を標的にしたサイバー諜報活動や破壊工作のために展開した可能性が高いと報告している。

なお、破壊活動の時期について、Microsoftは2025年10月、Binary Defenseは2026年3月の検知としており、両社の情報に差がみられる。