Microsoft detectó por primera vez en octubre de 2025 a GigaWiper, un malware modular para Windows que mezcla funciones de espionaje con herramientas capaces de dejar un equipo inutilizado. Esa combinación es lo que ha hecho saltar las alarmas entre los investigadores: primero se cuela para vigilar a la víctima y, si sus operadores lo deciden, después puede pasar a la destrucción total del sistema en cuestión de minutos, según la descripción de la propia Microsoft.
GigaWiper va más allá del robo de información o del movimiento dentro de una red ya comprometida. También puede borrar discos, sobrescribir datos y cifrar archivos de forma irreversible, siempre según Microsoft. En otras palabras, los atacantes tienen una manera rápida de pasar de una operación encubierta a un sabotaje abierto en muy poco tiempo.
En la práctica, GigaWiper actúa como un RAT, un troyano de acceso remoto, y permite controlar los sistemas infectados, espiar a las víctimas y ejecutar comandos a distancia, de acuerdo con Microsoft. Pero ahí está solo una parte del problema. Su rasgo más peligroso es que también incorpora funciones de wiper, es decir, malware destructivo pensado para eliminar datos de forma permanente. Microsoft añadió que esta amenaza se compone de al menos tres familias de malware más antiguas, con componentes vinculados a Crucio ransomware y FlockWiper.
Ese planteamiento apunta a una evolución bastante pragmática. Sus operadores no desarrollaron todo desde cero: reciclaron y combinaron código que ya había sido probado. Así pueden reunir espionaje y destrucción en una sola herramienta, reducir el número de piezas que necesitan dentro de una red comprometida y mantener ocultas sus intenciones finales durante más tiempo.
Los análisis publicados por Microsoft describen tres formas distintas en las que GigaWiper puede destruir información. La primera sobrescribe por completo la unidad física, una opción extrema que puede dejar el sistema inservible. La segunda se centra en la unidad donde está instalado Windows y aplica un borrado de múltiples pasadas para poner la recuperación de datos lo más difícil posible. La tercera se parece a un ataque de ransomware, pero con una diferencia crítica: cifra los archivos y la clave de cifrado nunca se guarda, así que no existe una vía realista para restaurar la información.
Binary Defense también ha seguido el rastro de esta amenaza y en marzo de 2026 la catalogó con el nombre BLUERABBIT. Sus investigadores la relacionan con un actor vinculado a Irán, al que además asocian con variantes anteriores como BLUEWIPE y SEWERGOO. Los informes apuntan a que los principales objetivos son organizaciones en Israel, un patrón que encaja con la actividad cibernética observada en medio de las tensiones geopolíticas de la región. El caso vuelve a dejar claro algo que ya se conoce: el malware para Windows sigue siendo un vector clave en operaciones de espionaje y sabotaje.
GigaWiper encaja, además, en una tendencia más amplia: el regreso del malware pensado no solo para espiar o extorsionar, sino también para destruir sistemas a gran escala. Entre los ejemplos recientes aparece el incidente de Stryker, en marzo de 2026, que supuestamente borró más de 80.000 dispositivos en 79 países, según los informes sobre el caso. También figura el intento de DynoWiper contra el sector energético de Polonia a finales de 2025. Para las organizaciones, el mensaje es bastante directo: ya no basta con prepararse para el robo de datos o para el ransomware tradicional, porque algunas intrusiones pueden empezar como una operación silenciosa de inteligencia y acabar en un ataque destructivo sin posibilidad real de recuperación.
