从“火药桶”到“手术刀”：破坏性攻击的范式转移
在传统的应急响应案例中，Wiper（擦除器）类恶意软件通常被视为“火药桶”——攻击者一旦获取权限，便会立即执行破坏，追求的是“一波流”式的毁灭性打击。然而，近期监测到的新型恶意软件 GigaWiper（又名 BlueRabbit）彻底颠覆了这一认知。
从我们的应急响应经验来看，GigaWiper 并非单纯的擦除工具，它更像是一个“披着后门外衣的指挥官”。它将持久化控制、侦察能力与多种破坏性载荷深度集成，攻击者不再需要“一次性交付”，而是可以在潜伏期内充分摸清企业核心资产的分布，在最关键的时刻选择最致命的破坏方式。这种“破坏可选性”是近年来威胁演进中一个值得警惕的信号。
攻击链深度解析：模块化的阴影
GigaWiper 的核心逻辑在于其高度的模块化。它不仅在功能上集成了约 20 种后门指令（包括远程 Shell、文件管理、屏幕截图及隐藏远程桌面等），更在基础设施层面展现出了不同寻常的灵活性。
这一环节是很多企业容易忽视的：GigaWiper 在 C2 通信上放弃了传统的 HTTP/DNS 协议，转而使用 RabbitMQ（消息队列）和 Redis 数据库进行指令交互。这种做法不仅增加了流量特征的隐蔽性，也使得攻击者能够更稳定、更细颗粒度地管理被控主机。
一旦攻击者完成了侦察并决定实施破坏，他们可以按需调用三种核心模块： 一是物理磁盘擦除模块，直接破坏分区表； 二是伪装勒索模块，基于 Crucio 变种，通过随机密钥加密文件，造成无法恢复的假象； 三是多重覆盖擦除模块，基于 FlockWiper，通过多次覆写彻底抹除数据痕迹。
溯源与防御：如何从“灭火”转向“防火”
虽然相关研究机构指出该恶意软件可能与伊朗背景的攻击组织有关，但对于广大企业而言，与其纠结于攻击者的身份，不如关注其行为特征。
从 Solar 团队的实战视角出发，针对此类高级威胁，我们提出以下建议：
首先，重点防御“破坏前置阶段”。GigaWiper 在正式执行破坏前，必然存在大量的后门通信与侦察流量。特别是针对 RabbitMQ 和 Redis 的非标准端口流量，这在正常的企业办公网络中极度罕见，是极佳的威胁狩猎切入点。
其次，强化端点防御的“不可篡改性”。攻击者常通过修改 GPO 或添加 AV 排除项来逃避检测。建议企业强制开启全租户的防篡改功能，并启用 DisableLocalAdminMerge 策略，防止安全配置被恶意篡改。
最后，建立基于信誉的执行策略。对于无法确认来源的执行文件，应采取“默认拒绝”策略，通过云端机器学习保护拦截未知的恶意载荷。这一策略在应对 GigaWiper 这类快速变种的工具时，往往能起到事半功倍的效果。
类似攻击近年来明显增加，其本质是攻击者在向“精细化运营”转型。企业防御的重点必须从单纯的“检测病毒文件”转向“识别异常行为链路”。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com