GigaWiper neu analysiert: Windows-Malware spioniert PCs aus und zerstört Daten

Die Windows-Malware GigaWiper ist im März 2026 von Binary Defense noch einmal genauer untersucht worden. Microsoft hatte GigaWiper schon im Oktober 2025 als Windows-Schädling eingeordnet, der die Fähigkeiten eines Remote-Access-Trojaners mit denen eines Wipers zusammenbringt. Damit können Angreifer nach Angaben von Microsoft zunächst unauffällig Systeme beobachten und Daten abziehen, um später per Knopfdruck komplette Rechner unbrauchbar zu machen.

Malwarebytes Anti-Malware Herunterladen

Genau diese Doppelrolle macht die Malware so heikel. Für Verteidiger ist zu Beginn oft kaum sauber zu erkennen, ob es bei einem Einbruch um Spionage, klassische Erpressung oder um reine Zerstörung geht. Den Angreifern spielt das in die Karten: Sie gewinnen Zeit und hinterlassen zugleich weniger sichtbare Spuren im Netzwerk.

GigaWiper für Windows: Spionage und Zerstörung in einem Tool

Microsoft hatte GigaWiper bereits im Oktober 2025 beschrieben. Demnach handelt es sich um eine modulare Windows-Malware, die aus mindestens drei älteren Malware-Familien zusammengesetzt wurde. Zu diesen Bausteinen zählen laut Microsoft unter anderem Komponenten, die mit der Crucio-Ransomware und mit FlockWiper verbunden sind.

Daran lässt sich ein größerer Trend ablesen. Bedrohungsakteure setzen nicht mehr für jede einzelne Phase eines Angriffs ein separates Werkzeug ein, sondern packen Aufklärung, Fernzugriff und Sabotage immer öfter in eine einzige Plattform.

Für Unternehmen macht das die Erkennung spürbar schwieriger, weil der Sprung von einer stillen Kompromittierung zur offenen Zerstörung sehr schnell kommen kann.

Drei Methoden zum Löschen von Daten

Auffällig sind vor allem die drei unterschiedlichen Wege, mit denen GigaWiper Systeme zerstören kann. Laut Microsoft ist die Malware erstens in der Lage, das komplette physische Laufwerk zu überschreiben. Zweitens ist nach Angaben von Microsoft auch ein mehrstufiges Löschen des Windows-Laufwerks möglich, um eine Wiederherstellung zusätzlich zu erschweren.

Als dritte Option kann GigaWiper laut Microsoft eine vermeintliche Ransomware-Routine starten, bei der Dateien verschlüsselt werden, allerdings mit einem Schlüssel, der nie gespeichert wird.

Praktisch heißt das: Selbst wenn der Vorfall wie ein klassischer Ransomware-Angriff aussieht, besteht womöglich gar keine Chance auf Entschlüsselung. Genau darin dürfte ein Teil der Taktik liegen.

Diese falsche Ransomware-Fassade kann Incident-Response-Teams viel Zeit kosten, weil zunächst Verhandlungen oder technische Wege zur Wiederherstellung geprüft werden, obwohl die Daten in Wirklichkeit schon irreversibel zerstört sind.

Verbindung zu iranischem Bedrohungsakteur

Binary Defense führte die Malware im März 2026 unter der Bezeichnung BLUERABBIT. Nach Einschätzung des Unternehmens gibt es Verbindungen zu einem iran-nahen Bedrohungsakteur, der auch mit früheren Varianten wie BLUEWIPE und SEWERGOO in Verbindung gebracht wird.

Nach Angaben von Binary Defense richten sich die Angriffe vor allem gegen Organisationen in Israel. Das fügt sich in ein breiteres Muster destruktiver Cyberoperationen ein, die im Umfeld regionaler geopolitischer Spannungen immer wieder auftauchen.

Für Betroffene geht es dabei nicht nur um verlorene Daten. Es drohen auch länger anhaltende Ausfälle geschäftskritischer Systeme.

Teil eines größeren Trends bei Wiper-Angriffen

GigaWiper ist kein Einzelfall. Sicherheitsforscher sehen seit Ende 2025 mehr ausgefeilte Wiper-Angriffe. Dazu gehören etwa der destruktive Angriff auf Stryker im März 2026 sowie der versuchte Einsatz von DynoWiper gegen den polnischen Energiesektor Ende 2025.

Für Windows-Nutzer und Unternehmen ist die wichtigste Lehre ziemlich klar: Nicht jede vermeintliche Ransomware zielt tatsächlich auf Lösegeld. Manchmal geht es schlicht darum, Systeme dauerhaft zu zerstören. Umso wichtiger sind segmentierte Netzwerke, verlässliche Offline-Backups und eine schnelle forensische Einordnung kompromittierter Geräte.