Microsoft a repéré GigaWiper en octobre 2025. En mars 2026, l’entreprise de cybersécurité Binary Defense a retrouvé cette même famille de malware Windows sous un autre nom, BLUERABBIT. D’après Microsoft et Binary Defense, ce programme peut espionner une victime pendant plusieurs jours, puis détruire la machine au moment choisi. Sous Windows, GigaWiper commence par se comporter comme un cheval de Troie d’accès à distance, un RAT, avant de pouvoir passer en mode wiper et saboter les données de façon définitive.
Ce mélange des genres change la façon de lire une intrusion. Les attaquants n’ont plus besoin de disséminer plusieurs outils sur un réseau déjà compromis. Ils peuvent s’appuyer sur un seul composant modulaire, plus discret, et garder leur but réel volontairement flou jusqu’à la toute fin.
Microsoft a identifié GigaWiper en octobre 2025. Puis, en mars 2026, Binary Defense a suivi cette même famille sous un autre nom : BLUERABBIT. Derrière cette étiquette, les chercheurs de Binary Defense décrivent une menace conçue pour deux tâches qui n’ont rien à voir l’une avec l’autre : surveiller la victime, puis effacer les traces et les systèmes.
Tant qu’il reste dans son rôle de RAT, le malware peut servir à la reconnaissance, à l’exfiltration d’informations ou à la préparation d’une attaque plus large. Et sur commande, il peut basculer en outil de destruction.
Selon les chercheurs de Binary Defense, GigaWiper dispose de trois mécanismes distincts pour anéantir les données. Le premier écrase tout le disque physique, avec une méthode particulièrement brutale qui rend le système inutilisable. Le deuxième procède à un effacement en plusieurs passes du disque Windows, ce qui complique fortement toute tentative de récupération. Le troisième, lui, imite une attaque par ransomware : les fichiers sont chiffrés, mais la clé n’est jamais conservée. Résultat, aucune restauration n’est possible, même en théorie, d’après Binary Defense.
C’est justement ce dernier point qui peut piéger les équipes de réponse à incident. Présenté comme un ransomware, le malware peut faire croire qu’une négociation ou une récupération restent envisageables, alors que sa finalité est uniquement destructrice.
Plus surprenant, les chercheurs de Binary Defense estiment aussi que GigaWiper n’a pas été développé entièrement de zéro. D’après Binary Defense, il reprendrait au moins trois familles de malwares plus anciennes, avec des éléments reliés notamment au ransomware Crucio et à l’outil FlockWiper. Cette réutilisation de briques déjà éprouvées confirme une tendance de fond chez les attaquants : assembler rapidement des modules qui fonctionnent déjà, plutôt que refaire chaque fonction une par une.
Pour les opérateurs, l’intérêt est évident : moins d’outils disséminés sur le réseau, donc moins de traces visibles pour les défenseurs, et la possibilité de passer de la surveillance à la destruction sans déployer un deuxième arsenal. D’après les rapports de Microsoft et de Binary Defense, GigaWiper a été associé à un acteur lié à l’Iran, également rapproché d’autres opérations comme BLUEWIPE et SEWERGOO. Les deux rapports indiquent aussi un ciblage prioritaire d’organisations en Israël.
Cette campagne arrive dans un moment où les malwares destructeurs reviennent en force. Les wipers modernes ne se contentent plus de casser des machines. Ils reprennent les codes du ransomware, recyclent des modules existants et se glissent dans des intrusions qui ressemblent d’abord à de l’espionnage. Pour les entreprises comme pour les particuliers, la conclusion est moins théorique qu’elle n’en a l’air : une infection qui ressemble à une tentative d’extorsion peut, en réalité, ne laisser aucune possibilité de récupération.
Suivez-moi sur Twitter : @pierrevitre
