5 min

Microsoft odhalil virus, který ničí PC; přepíše disk a data už nikdy neobnovíte. Maskuje se jako aktualizace

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

Microsoft Threat Intelligence zveřejnil podrobný rozbor malwaru GigaWiper, který po průniku přepíše disky a zamaskuje se jako aktualizace OneDrivu.

Windows 11

Zdroj: Lukáš Altman (Mobify.cz) a Microsoft

Obsah článku

Dne 9. července 2026 publikoval Microsoft na svém bezpečnostním blogu technickou analýzu destruktivního backdooru GigaWiper, jehož první vzorky byly zaznamenány už v říjnu 2025. Nejde o klasický ransomware, u kterého existuje šance na obnovu dat po zaplacení výkupného. GigaWiper nabízí tři režimy destrukce a po jejich spuštění jsou lokální data nenávratně zničena; bezpečnostní specialista ani běžný nástroj je nedokáže jednoduše obnovit. Klíčový trik, kterým se malware udržuje v systému, spočívá ve vytvoření úlohy pojmenované „OneDrive Update“ v Plánovači úloh Windows. Nejde tedy o falešný balíček z Windows Update, jak by se mohlo zdát. Útočníci zneužívají důvěryhodně znějící službu OneDrive, aby získali trvalý přístup k napadenému počítači.

Tři cesty, jak GigaWiper zničí vaše data

GigaWiper není jednoduchý škodlivý program s jedinou funkcí. Microsoft popsal tři odlišné destruktivní režimy, z nichž každý sám o sobě stačí k tomu, aby data na disku přestala existovat.

Přímé zničení fyzického disku. Malware přes rozhraní WMI najde všechny fyzické disky v počítači. U disků, na kterých neběží Windows, znovu inicializuje metadata oddílů a následně zapisuje přímo do surového obsahu disku. Po takovém zásahu neexistuje tabulka oddílů ani souborový systém; disk je z pohledu operačního systému prázdné úložiště.

Falešný ransomware. Druhý režim vypadá jako klasický vyděračský útok: soubory se zašifrují algoritmem AES-256, přejmenují se na příponu .candya změní se tapeta plochy. Jenže klíč i inicializační vektor malware náhodně vygeneruje a nikam je neuloží. Neexistuje výzva k zaplacení výkupného, neexistuje platební adresa ani způsob dešifrování. Je to stěrač převlečený za ransomware.

Vícenásobný přepis systémového disku. Třetí režim, který Microsoft označuje jako WipeCMain, cílí přímo na disk s Windows. Přepisuje ho několika průchody s různými bajtovými vzory. Výsledek je stejný jako u prvního režimu: data jsou pryč.

Podstatné je, že GigaWiper zasahuje i další fyzické disky připojené k počítači. Záloha na druhém interním disku nebo trvale připojeném externím disku tedy nepomůže.

Proč se maskuje zrovna za aktualizaci OneDrivu

Maskování za legitimní systémové procesy je osvědčená útočná taktika. Databáze MITRE ATT&CK ji eviduje jako subtechniku „Masquerade Task or Service“ a uvádí desítky případů, kdy různé skupiny zneužívají důvěryhodně znějící názvy úloh a služeb. GigaWiper z tohoto scénáře vychází.

Konkrétně vytvoří v Plánovači úloh Windows úlohu pojmenovanou přesně „OneDrive Update“ a spojí ji s klíčem v registru HKCU\SOFTWARE\OneDrive\Environment. Úloha se spouští při každém startu systému a opakuje se každou minutu. Právě tento krátký interval je zásadním vodítkem. Legitimní aktualizační mechanismus OneDrivu podle oficiální dokumentace Microsoftu kontroluje nové verze přibližně jednou za 24 hodin a aktualizace provádí přes proces OneDriveSetup.exe /update /restart. Úloha, která se spouští šedesátkrát za hodinu a spouští neznámý binární soubor, je proto silně podezřelá.

Název „OneDrive Update“ zvolili útočníci záměrně. OneDrive je předinstalovaný na stovkách milionů počítačů s Windows a jeho aktualizační úloha nikoho nepřekvapí. Administrátor, který projde seznam naplánovaných úloh, si ji snadno může splést s legitimním procesem.

Nejprve špionáž, pak destrukce

GigaWiper není jen stěrač. Než útočníci vydají příkaz ke zničení dat, malware funguje jako plnohodnotný backdoor napsaný v jazyce Go. Umí sbírat systémové informace, pořizovat snímky obrazovky, zaznamenávat dění na monitoru, vzdáleně ovládat počítač přes rozhraní VNC a odesílat soubory na servery útočníků prostřednictvím protokolu MinIO.

Komunikaci s řídicí infrastrukturou zajišťuje přes RabbitMQ (protokol AMQP) pro příjem příkazů a Redis pro odesílání výstupů. Jak upozorňuje sekundární analýza společnosti Binary Defense, v podnikových sítích, kde se RabbitMQ legitimně používá, může tento provoz splynout s běžnou komunikací mezi aplikacemi, což odhalení výrazně komplikuje.

Logika je pragmatická: útočníci nejprve maximalizují hodnotu přístupu, stahují citlivá data, mapují síť a získávají potřebné údaje. Teprve když z napadeného prostředí vytěží maximum, spustí destrukci a „spálí“ svůj přístup. Microsoft v analýze uvádí, že GigaWiper vychází ze starších destruktivních rodin Crucio a FlockWiper, ale spojuje jejich funkce do jednoho implantátu. Méně nástrojů v síti znamená menší šanci na odhalení.

Část bezpečnostních expertů spojuje GigaWiper s aktivitou napojenou na Írán; Binary Defense s odkazem na Google Threat Intelligence Group hovoří o cílení na izraelské subjekty. Microsoft ve svém veřejném rozboru konkrétního aktéra nejmenuje. Veřejně potvrzené české oběti se zatím nepodařilo ověřit.

Jak se bránit a co konkrétně zkontrolovat

GigaWiper je nástroj nasazovaný až po průniku; útočníci ho instalují poté, co se do sítě nebo počítače dostanou jiným způsobem. Nejde o malware, který by se masově šířil e-mailem nebo přes infikované webové stránky. To ale neznamená, že se běžného uživatele netýká: pokud by se na konkrétní počítač dostal, zničí data bez ohledu na to, zda jde o firemní nebo domácí zařízení.

Co zkontrolovat v Plánovači úloh:

Úlohu přesně pojmenovanou „OneDrive Update“
Spouštění při startu systému s opakováním každou minutu
Akci spouštějící neznámý binární soubor místo standardního OneDriveSetup.exe
Přítomnost klíče HKCU\SOFTWARE\OneDrive\Environment v registru
Nastavení skrytého úkolu a automatického restartu při selhání

Jak má vypadat záloha, která přežije stěrač:

Microsoft ve svých doporučeních doporučení pro ochranu proti ransomwaru požaduje pravidlo 3-2-1-1: tři kopie dat, na dvou různých médiích, jedna kopie mimo pracoviště a jedna neměnná (immutable) nebo plně izolovaná. Záloha na druhém disku ve stejném počítači nestačí, protože GigaWiper cíleně vyhledává a přepisuje i další fyzické disky.

Microsoft Defender detekuje GigaWiper pod názvy zahrnujícími GigaWiper, FlockWiper a WprFlock; Malwarebytes uvádí detekce Trojan.FlockWiper a Backdoor.GigaWiper. Aktualizovaný antivirus s cloudovou ochranou je základní, nikoli však dostačující vrstva obrany.

GigaWiper připomíná, že nejnebezpečnější malware dnes nemusí krást hesla ani zobrazovat reklamy. Tiše čeká, sbírá data a na povel smaže vše, co najde. Jedinou skutečnou pojistkou jsou zálohy, ke kterým se útočník nedostane.

Zdroj: Mobify.cz - Váš párťák ve světě elektroniky

Autor: Jiří Pacovský

Reklama

Další články z Mobify.cz

Dojezd elektroauta 3 000 km na jedno nabití tu ještě nebyl. Korejští vědci vyřešili problém, který brzdil baterie 20 let

Elektromobily měly čistit vzduch ve městech. Vědci ale u nabíječek naměřili 2× více nečistot než u benzinek

Studie UCLA zachytila u rychlonabíjecích stanic v LA koncentrace jemného prachu PM2,5 téměř dvojnásobné...

Babiš blokuje investici za 44 miliard do čipů v Rožnově, protože ji dojednala minulá vláda. Firma už propouští stovky lidí

Evropská komise pobídku téměř 12 miliard korun schválila loni v listopadu. Česká vláda od té doby mlčí, a...

Jediná firma na světě uměla vyrábět DUV stroje na čipy. Čína ji právě dohnala a chystá mnohem více

Čínská firma Shanghai Aishengna zahájila výrobu svého imerzního DUV litografického stroje. Dosud tento...

Apple testuje leasing iPhonů, iPadů, hodinek i Maců za měsíční splátky. Možná nesmysl, možná geniální tah

Apple v USA spustil program Apple Upgrade, leasing iPhonů, iPadů, Maců i hodinek za měsíční splátky. Po...

Tento článek byl publikován ze zdrojů Mobify.cz

Web se zaměřuje na mobilní telefony, chytré technologie a moderní aplikace. Čtenáři zde najdou recenze nových modelů, srovnání zařízení, tipy na užitečné aplikace i praktické rady, jak z telefonu dostat maximum. Obsah sleduje také trendy v oblasti elektroniky, softwaru a digitálních služeb – od...

Microsoft odhalil virus, který ničí PC; přepíše disk a data už nikdy neobnovíte. Maskuje se jako aktualizace

„Nebudeme jen přihlížet.“ Meloniová po masovém průniku migrantů hrozí tvrdou odpovědí

Taryho kauza má nečekanou zastánkyni. Ornella Koktová se pustila do jeho kritiků

Středověká svatební noc nebyla soukromou záležitostí. Když ženich selhal, museli zasahovat i přihlížející

Lékárny stahují několik přípravků od Zentivy: Jde o čtyři léky na předpis i volný prodej

Za tohle lidé kdysi dostávali zaplaceno: nejpodivnější práce historie