GigaWiper: il malware per Windows che prima spia e poi distrugge il PC
Secondo le ipotesi circolate in rete nelle ultime ore, insieme alle analisi tecniche pubblicate da Microsoft e Binary Defense, GigaWiper è un nuovo malware per Windows che potrebbe essere stato impiegato da un gruppo legato all’Iran contro organizzazioni in Israele. Non si limita a rubare informazioni. Mette insieme funzioni da RAT, quindi da trojan di accesso remoto usato per spiare e controllare una macchina, e vere capacità da wiper. In altre parole, può anche distruggere del tutto il computer colpito.
Ed è proprio questo il punto che preoccupa di più, almeno stando a quanto ipotizzato finora e a quanto descritto da Microsoft e Binary Defense. Gli attaccanti possono entrare in un sistema, osservarlo per un po’, muoversi nella rete e solo dopo passare alla fase distruttiva , tutto con lo stesso strumento. Per chi deve difendere una rete, accorgersi troppo tardi che non si è davanti a un normale ransomware può segnare il confine tra un attacco contenuto e una perdita totale.
Come funziona GigaWiper
Secondo i ricercatori di Microsoft e Binary Defense, GigaWiper può mettere fuori uso i sistemi in tre modi diversi. Il primo è il più diretto, e anche il più brutale: sovrascrive l’intero disco fisico, cancellando di fatto i dati alla radice. Il secondo prende di mira l’unità di sistema con una cancellazione a più passaggi, studiata per rendere il recupero ancora più complicato.
Il terzo metodo, sempre secondo l’analisi tecnica, è quello più ingannevole. GigaWiper finge un’operazione di ransomware e cifra i file, ma la chiave usata non viene mai salvata. Quindi, anche se l’attacco sembra la classica estorsione, in realtà non esiste nessuna possibilità concreta di decrittazione. Alla fine cambia poco: l’effetto è quello di un wiper, con dati persi per sempre.
Perché è diverso da altri malware
Microsoft ha individuato GigaWiper per la prima volta nell’ottobre 2025. Poi, nel marzo 2026, Binary Defense lo ha seguito usando un altro nome, BLUERABBIT. Il nome conta fino a un certo punto. Quello che davvero lo distingue è la sua natura modulare.
Microsoft e Binary Defense hanno pubblicato diversi elementi tecnici che vanno tutti nella stessa direzione. Gli analisti delle due aziende descrivono infatti GigaWiper come un malware costruito assemblando almeno tre famiglie malevole più vecchie. Tra i componenti trovati ci sono elementi collegati al ransomware Crucio e a FlockWiper. Il quadro che emerge è quello di una strategia sempre più pratica ed efficiente: invece di sviluppare ogni pezzo da zero, i gruppi ostili riusano moduli già testati, così accorciano i tempi delle operazioni e si tengono più flessibili negli attacchi.
Chi c’è dietro e chi rischia di più
Secondo gli elementi tecnici raccolti da Microsoft e Binary Defense, le attribuzioni portano verso un attore con legami con l’Iran, già associato a varieanti precedenti come BLUEWIPE e SEWERGOO, oltre che ad attività distruttive ricondotte a infrastrutture legate a CyberAv3ngers. Al momento, però, non ci sono commenti ufficiali che confermino in modo definitivo questa attribuzione. E, come accade spesso in casi del genere, l’attribuzione non è una scienza esatta.
Detto questo, i collegamenti tecnici e operativi descritti nelle due analisi stanno componendo un quadro piuttosto chiaro. I bersagli principali emersi finora sarebbero organizzazioni in Israele, secondo le ipotesi circolate in rete nelle scorse ore. GigaWiper finisce così dentro un contesto più ampio di operazioni informatiche legate alle tensioni geopolitiche nella regione.
Cosa significa per aziende e utenti
Per chi difende sistemi e reti, il problema non è solo la distruzione dei dati. C’è anche il rischio di leggere male l’attacco nelle sue fasi iniziali. Se GigaWiper si presenta come ransomware, i team di sicurezza possono concentrare gli sforzi sulla negoziazione o sul contenimento di quella che sembra una normale cifratura, perdendo minuti preziosi prima di capire che il danno è stato pensato per essere irreversibile.
C’è poi un’altra cosa. GigaWiper si inserisce in una tendenza più ampia: il ritorno dei wiper sofisticati. Tra gli episodi citati più spesso negli ultimi mesi ci sono l’attacco Stryker del marzo 2026, che secondo le ricostruzioni circolate all’epoca avrebbe colpito oltre 80.000 dispositivi in 79 Paesi, e il tentativo di DynoWiper contro il settore energetico polacco alla fine del 2025. Il messaggio, per le organizzazioni, è piuttosto netto: oggi un’infezione non punta per forza a incassare un riscatto. Può essere progettata per lasciare dietro di sé solo macchine inutilizzabili.
A quel punto il problema non è più soltanto tecnico. Diventa anche etico: è davvero accettabile che strumenti di questo tipo vengano usati non solo per spiare, ma per cancellare in modo definitivo dati e infrastrutture civili?
