Malware
▲ KRITIS
GigaWiper (BLUERABBIT): Backdoor Destruktif yang Menggabungkan Wiper, Ransomware Palsu, dan Sabotase Sistem
11 Juli 2026 • Seraphim News • 43 mnt baca
Daftar Isi 22 bagian
Ringkasan Eksekutif
Microsoft Threat Intelligence dan Binary Defense secara independen mengungkap GigaWiper (dilacak juga sebagai BLUERABBIT oleh Google Threat Intelligence Group) — sebuah backdoor Windows destruktif yang dibangun dengan Golang. Malware ini menggabungkan tiga mode penghancuran berbeda dalam satu platform modular: physical disk wiping, fake ransomware tanpa kemungkinan dekripsi, dan targeted partition sabotage dengan multi-pass secure overwriting.
Berbeda dengan ransomware tradisional yang mengejar keuntungan finansial, GigaWiper adalah senjata sabotase murni. Tidak ada tebusan yang serius, tidak ada kunci dekripsi yang disimpan, tidak ada kemungkinan pemulihan data tanpa backup offline. Diduga berasal dari aktor ancaman yang terkait dengan Iran, malware ini melanjutkan tradisi wiper destruktif seperti Shamoon dan FlockWiper — namun dengan arsitektur modular yang jauh lebih fleksibel.
┌──────────────────────────────────────────────────────┐
│ GIGAWIPER AT A GLANCE │
├──────────────────────────────────────────────────────┤
│ Nama │ GigaWiper / BLUERABBIT │
│ Bahasa │ Golang │
│ Target │ Windows (global) │
│ Jenis │ Backdoor + Wiper + Ransomware │
│ Atribusi │ Iran (state-aligned) │
│ Ditemukan │ Juli 2026 │
│ Status │ AKTIF │
│ Severity │ KRITIS │
│ Kemampuan │ Disk wipe, fake ransomware, │
│ │ partition sabotage, espionage │
└──────────────────────────────────────────────────────┘
Apa Itu GigaWiper?
GigaWiper adalah backdoor destruktif yang beroperasi sebagai tool pasca-kompromi — artinya malware ini dirancang untuk di-deploy setelah penyerang berhasil mendapatkan akses awal ke sistem target. Berbeda dengan ransomware tradisional yang bertujuan finansial, GigaWiper adalah senjata sabotase murni yang dirancang untuk menghancurkan infrastruktur target secara total.
FILOSOFI DI BALIK GIGAWIPER:
RANSOMWARE TRADISIONAL:
"Bayar tebusan → dapat kunci dekripsi → data kembali"
Tujuan: UANG
GIGAWIPER:
"Tidak ada tebusan. Tidak ada kunci. Data hancur total."
Tujuan: PENGHANCURAN
⚠ GigaWiper adalah senjata siber — bukan alat pemerasan.
Arsitektur Modular: Tiga Senjata dalam Satu Platform
Keunikan utama GigaWiper terletak pada arsitektur modularnya. Alih-alih membawa satu payload destruktif, malware ini mengintegrasikan tiga modul penghancuran independen yang bisa diaktifkan sesuai kebutuhan operator:
┌───────────────────────────────────────────────────┐
│ ARSITEKTUR MODULAR GIGAWIPER │
├───────────────────────────────────────────────────┤
│ │
│ ┌─────────────┐ ┌─────────────┐ ┌─────────────┐ │
│ │ MODUL #1 │ │ MODUL #2 │ │ MODUL #3 │ │
│ │ DISK WIPER │ │ FAKE │ │ PARTITION │ │
│ │ (Fisik) │ │ RANSOMWARE │ │ SABOTAGE │ │
│ └──────┬──────┘ └──────┬──────┘ └──────┬──────┘ │
│ │ │ │ │
│ └────────────────┼────────────────┘ │
│ │ │
│ ┌──────┴──────┐ │
│ │ C2 LAYER │ │
│ │ (Espionage │ │
│ │ + Command) │ │
│ └─────────────┘ │
│ │
│ ✦ Operator bisa memilih modul mana yang aktif │
│ ✦ Bisa dijalankan bersamaan atau bertahap │
│ ✦ Fleksibilitas maksimum untuk skenario berbeda │
│ │
└───────────────────────────────────────────────────┘
Mode Penghancuran
Mode 1 — Physical Disk Wiping
Modul pertama dan paling destruktif: penghapusan disk secara fisik.
┌──────────────────────────────────────────────────────┐
│ MODE 1: PHYSICAL DISK WIPING │
├──────────────────────────────────────────────────────┤
│ │
│ Cara Kerja: │
│ 1. Mengakses disk pada level hardware (raw disk) │
│ 2. Overwrite data mentah sektor per sektor │
│ 3. Menghancurkan metadata partisi │
│ 4. Membuat sistem tidak bisa boot (unbootable) │
│ 5. Data TIDAK BISA dipulihkan — bahkan oleh │
│ profesional data recovery │
│ │
│ Dampak: │
│ ├── Sistem operasi hancur total │
│ ├── Semua file, database, aplikasi hilang │
│ ├── Partition table rusak │
│ └── Recovery hampir mustahil │
│ │
│ Target Khas: │
│ ├── Server database produksi │
│ ├── Domain controller │
│ ├── Backup server │
│ └── Critical infrastructure nodes │
│ │
└──────────────────────────────────────────────────────┘
Mode 2 — Fake Ransomware
Modul ini sangat licik: berpura-pura menjadi ransomware, tapi sebenarnya tidak ada kemungkinan dekripsi sama sekali.
┌──────────────────────────────────────────────────────┐
│ MODE 2: FAKE RANSOMWARE │
├──────────────────────────────────────────────────────┤
│ │
│ Cara Kerja: │
│ 1. Mengenkripsi file menggunakan kunci RANDOM │
│ 2. Kunci di-generate, digunakan, lalu DIBUANG │
│ 3. TIDAK PERNAH disimpan atau dikirim ke server │
│ 4. Korbannya melihat file terenkripsi + tebusan │
│ 5. TAPI: meskipun bayar tebusan → tidak bisa │
│ didekripsi. Kunci sudah tidak ada. │
│ │
│ Mengapa Ini Dilakukan: │
│ ├── Menciptakan kebingungan (ransomware atau wiper?) │
│ ├── Membuang waktu incident response │
│ ├── Menyembunyikan motif asli (sabotase) │
│ └── Mempersulit atribusi dan analisis forensik │
│ │
│ ⚠ PENTING: │
│ Jika organisasi terkena fake ransomware GigaWiper, │
│ JANGAN membayar tebusan. Tidak ada gunanya. │
│ Fokus pada restore dari backup offline. │
│ │
└──────────────────────────────────────────────────────┘
Mode 3 — Targeted Partition Sabotage
Modul ini mewarisi teknik dari wiper sebelumnya bernama FlockWiper — melakukan multi-pass secure overwriting pada partisi sistem operasi Windows.
┌──────────────────────────────────────────────────────┐
│ MODE 3: TARGETED PARTITION SABOTAGE │
├──────────────────────────────────────────────────────┤
│ │
│ Cara Kerja: │
│ 1. Mengidentifikasi partisi OS Windows (C:) │
│ 2. Melakukan overwriting MULTI-PASS: │
│ Pass 1: Zero-fill (0x00) │
│ Pass 2: Random data │
│ Pass 3: Zero-fill lagi │
│ (Bisa lebih, tergantung konfigurasi) │
│ 3. Setiap pass membuat recovery semakin mustahil │
│ 4. Fokus pada partisi sistem saja — efisien │
│ tapi tetap destruktif │
│ │
│ Kenapa Multi-Pass: │
│ ├── Single-pass masih bisa direcover (secara teori) │
│ ├── Multi-pass = data hilang permanen │
│ ├── Mengikuti standar penghapusan militer │
│ └── Mirip dengan teknik wiper negara (Shamoon, dll.) │
│ │
│ Sumber Teknik: │
│ Diwarisi dari FlockWiper — wiper destruktif │
│ yang juga dihubungkan dengan aktor Iran │
│ │
└──────────────────────────────────────────────────────┘
DNA Malware: Gabungan Beberapa Keluarga
Salah satu temuan paling menarik dari analisis Microsoft adalah bahwa GigaWiper bukan kode baru sepenuhnya. Malware ini adalah “Frankenstein” yang dirangkai dari potongan-potongan malware sebelumnya:
┌──────────────────────────────────────────────────┐
│ DNA MALWARE GIGAWIPER │
├──────────────────────────────────────────────────┤
│ │
│ ┌────────────────────────────────────────────┐ │
│ │ CRUCIO RANSOMWARE │ │
│ │ → Sumber modul "FAKE RANSOMWARE" │ │
│ │ → Rutin enkripsi dengan kunci random │ │
│ │ → Tidak ada mekanisme dekripsi │ │
│ └────────────────────────────────────────────┘ │
│ + │
│ ┌────────────────────────────────────────────┐ │
│ │ FLOCKWIPER │ │
│ │ → Sumber modul "PARTITION SABOTAGE" │ │
│ │ → Multi-pass secure overwriting │ │
│ │ → Teknik penghapusan level militer │ │
│ └────────────────────────────────────────────┘ │
│ + │
│ ┌────────────────────────────────────────────┐ │
│ │ KODE CUSTOM BARU │ │
│ │ → Modul "PHYSICAL DISK WIPING" │ │
│ │ → C2 layer untuk remote access │ │
│ │ → Integrasi dan orkestrasi ketiganya │ │
│ └────────────────────────────────────────────┘ │
│ = │
│ ┌────────────────────────────────────────────┐ │
│ │ GIGAWIPER (BLUERABBIT) │ │
│ │ Backdoor destruktif all-in-one │ │
│ └────────────────────────────────────────────┘ │
│ │
└──────────────────────────────────────────────────┘
Pendekatan “recycle & assemble” ini sangat efisien bagi aktor ancaman: mereka tidak perlu menulis kode dari nol, cukup gabungkan komponen yang sudah terbukti efektif.
Bagaimana Serangan Berlangsung
┌──────────────────────────────────────────────────┐
│ GIGAWIPER ATTACK LIFECYCLE │
├──────────────────────────────────────────────────┤
│ │
│ FASE 1: INITIAL ACCESS │
│ ├── Phishing, eksploitasi, atau kredensial curian │
│ ├── Mendapatkan foothold di jaringan target │
│ └── Durasi: bisa berhari-hari hingga berminggu │
│ ↓ │
│ FASE 2: RECONNAISSANCE & PERSISTENCE │
│ ├── Memetakan jaringan internal │
│ ├── Mengidentifikasi server kritis │
│ ├── Mencari backup server & storage │
│ ├── Mengumpulkan kredensial privilege escalation │
│ └── Memasang mekanisme persistence │
│ ↓ │
│ FASE 3: LATERAL MOVEMENT │
│ ├── Bergerak dari sistem awal ke target lain │
│ ├── Mencapai domain controller │
│ ├── Kompromi backup server │
│ └── Memastikan cakupan maksimum │
│ ↓ │
│ FASE 4: GIGAWIPER DEPLOYMENT │
│ ├── Push GigaWiper ke sebanyak mungkin sistem │
│ ├── Konfigurasi modul penghancuran │
│ ├── Set timer atau trigger kondisi tertentu │
│ └── Tunggu perintah dari C2 │
│ ↓ │
│ FASE 5: DETONATION │
│ ├── Semua modul diaktifkan serentak │
│ ├── Disk wipe + fake ransomware + partition sabotage│
│ ├── Sistem hancur dalam hitungan menit │
│ └── Tidak ada jalan kembali │
│ │
│ ⚡ TOTAL TIME (setelah foothold): Jam — Hari │
│ ⚡ DETONATION TIME: Menit — Puluhan Menit │
│ │
└──────────────────────────────────────────────────┘
Mengapa GigaWiper Berbeda dari Ransomware Biasa
| Aspek | Ransomware Tradisional | GigaWiper |
|---|---|---|
| Motivasi | Finansial (tebusan) | Sabotase & penghancuran |
| Enkripsi | Kunci disimpan, bisa didekripsi | Kunci dibuang, TIDAK BISA didekripsi |
| Tebusan | Ada, dengan contact info | Palsu — jangan dibayar |
| Komunikasi | Penyerang ingin dihubungi | Penyerang TIDAK ingin dihubungi |
| Target | Siapa saja yang bisa bayar | Infrastruktur spesifik (strategis) |
| Pemulihan | Mungkin dengan kunci | HANYA dari backup offline |
| Atribusi | Sulit, biasanya kriminal | State-aligned (Iran) |
| Cakupan | File-based encryption | Disk + Partisi + File |
Atribusi: Siapa di Balik BLUERABBIT?
┌──────────────────────────────────────────────────┐
│ ATRIBUSI GIGAWIPER │
├──────────────────────────────────────────────────┤
│ │
│ PENELITI YANG MELACAK: │
│ ├── Microsoft Threat Intelligence │
│ ├── Binary Defense │
│ └── Google Threat Intelligence Group (GTIG) │
│ │
│ NAMA TRACKING: │
│ ├── GigaWiper (Microsoft, Binary Defense) │
│ └── BLUERABBIT (Google GTIG) │
│ │
│ ATRIBUSI: │
│ ├── Kemungkinan besar: Iran (state-aligned) │
│ ├── Konsisten dengan pola operasi Iran: │
│ │ - Destruktif, bukan finansial │
│ │ - Target infrastruktur, bukan individu │
│ │ - Reuse kode malware sebelumnya │
│ │ - Operasi "on-demand" untuk sabotase │
│ └── Tidak terkait dengan kelompok ransomware │
│ kriminal biasa │
│ │
│ POLA OPERASI IRAN: │
│ ├── Shamoon (2012, 2016, 2018) — Saudi Aramco │
│ ├── ZeroCleare (2019) — energi Timur Tengah │
│ ├── FlockWiper (2023-2025) — komponen GigaWiper │
│ └── GigaWiper (2026) — evolusi terbaru │
│ │
└──────────────────────────────────────────────────┘
Perbandingan dengan Wiper Lain
┌──────────────────────────────────────────────────────────────────┐
│ PERBANDINGAN WIPER DESTRUKTIF │
├──────────────────────────────────────────────────────────────────┤
│ │
│ SHAMOON (2012-2018) │ GIGAWIPER (2026) │
│ ├── Target: Saudi Aramco │ ├── Target: Global (Windows) │
│ ├── Metode: Single-pass wipe │ ├── Metode: Multi-pass + │
│ ├── Dampak: 35.000 komputer │ │ ransomware │
│ └── Atribusi: Iran │ ├── Modular: 3 mode destruksi │
│ │ └── Atribusi: Iran │
│ │ │
│ NOTPETYA (2017) │ KEUNGGULAN GIGAWIPER │
│ ├── Target: Ukraina → global │ ├── Lebih fleksibel (modular) │
│ ├── Metode: Fake ransomware │ ├── Bisa pilih mode destruksi │
│ ├── Dampak: $10 miliar │ ├── Lebih sulit dideteksi │
│ └── Atribusi: Rusia (GRU) │ │ (Golang + reusable) │
│ │ └── C2 layer untuk spionase │
│ │ SEBELUM destruksi │
│ FLOCKWIPER (2023-2025) │ │
│ ├── Metode: Multi-pass wipe │ ⚠ POLA BERBAHAYA: │
│ └── Hubungan: Komponen │ Iran terus mengembangkan │
│ GigaWiper (modul 3) │ kapabilitas wiper. GigaWiper │
│ │ adalah yang paling canggih. │
│ │
└──────────────────────────────────────────────────────────────────┘
Indicators of Compromise (IOC)
Perilaku yang Harus Diwaspadai
DETECTION PATTERNS — GIGAWIPER:
═══════════════════════════════════════
FASE PRE-DETONATION (Espionase):
├── Koneksi C2 mencurigakan ke IP/domain tidak dikenal
├── Peningkatan aktivitas di jam tidak biasa
├── Lateral movement yang tidak terjadwal
├── Akses ke backup server dari akun tidak dikenal
└── Perubahan pada security product settings
FASE DETONATION (Destruksi):
├── Lonjakan I/O disk secara masif dan tiba-tiba
├── Aktivitas write ke raw disk device
├── File yang dienkripsi TANPA ransom note legitimate
├── System reboot tidak terduga
├── Partisi hilang atau tidak bisa di-mount
└── BSOD massal di banyak sistem sekaligus
FASE POST-DETONATION:
├── Sistem tidak bisa boot
├── Backup online juga terhapus/terenkripsi
├── Tidak ada file recovery tools yang tersisa
└── Log sistem terhapus (anti-forensik)
Technical IOCs
# Pola yang bisa dimonitor di SIEM / EDR:
# 1. Akses ke raw disk device (SANGAT mencurigakan)
# Monitor untuk proses yang mengakses:
\\.\PHYSICALDRIVE0
\\.\PHYSICALDRIVE1
# 2. Volume shadow copy deletion (sebelum wipe)
vssadmin delete shadows /all /quiet
wmic shadowcopy delete
# 3. BCDEdit (boot configuration tampering)
bcdedit /set {default} recoveryenabled no
bcdedit /set {default} bootstatuspolicy ignoreallfailures
# 4. Service modification
sc config [service] start= disabled
sc stop [service]
# 5. Mass file encryption tanpa ransom note
# Monitor untuk ekstensi file terenkripsi massal
# dan PERHATIKAN: tidak ada file README.txt / HOW_TO_DECRYPT
Mitigasi dan Pertahanan
Pertahanan Proaktif
┌──────────────────────────────────────────────────┐
│ MITIGASI GIGAWIPER — PROAKTIF │
├──────────────────────────────────────────────────┤
│ │
│ TIER 1: PREVENT ACCESS (Cegah foothold) │
│ ├── Phishing training + simulasi berkala │
│ ├── MFA di semua akun (terutama admin) │
│ ├── Patch management agresif │
│ ├── Least privilege principle │
│ └── Segmentasi jaringan ketat │
│ │
│ TIER 2: DETECT EARLY (Deteksi dini) │
│ ├── EDR dalam BLOCK MODE (auto-intercept) │
│ ├── Tamper protection tenant-wide │
│ ├── Monitor raw disk access alerts │
│ ├── Anomaly detection: I/O spike │
│ └── Honey tokens / canary files │
│ │
│ TIER 3: CONTAIN DAMAGE (Batasi dampak) │
│ ├── Network segmentation (blast radius kecil) │
│ ├── Isolasi otomatis host mencurigakan │
│ ├── Privileged Access Workstations (PAW) │
│ └── Just-in-Time admin access │
│ │
│ TIER 4: RECOVER (Pemulihan) │
│ ├── Immutable OFFLINE backup (WAJIB!) │
│ ├── 3-2-1 backup rule │
│ ├── Regular restore testing │
│ └── Disaster recovery plan teruji │
│ │
└──────────────────────────────────────────────────┘
Checklist Prioritas
[ CHECKLIST PERTAHANAN GIGAWIPER ]
═══════════════════════════════════════
KRITIS (Lakukan HARI INI):
[ ] EDR dalam block mode — jangan detect-only
[ ] Tamper protection ENABLED — tenant-wide
[ ] Verifikasi backup OFFLINE — immutable & air-gapped
[ ] Uji restore dari backup — jangan asumsi
[ ] Monitor akses raw disk — alert real-time
TINGGI (Minggu Ini):
[ ] Review network segmentation — perkecil blast radius
[ ] Audit privileged accounts — hapus yang tidak perlu
[ ] MFA enforced untuk SEMUA akun admin
[ ] Incident response plan update — skenario wiper
[ ] Tabletop exercise: simulasi serangan wiper
SEDANG (Bulan Ini):
[ ] Phishing simulation — seluruh organisasi
[ ] Review backup strategy — 3-2-1 rule
[ ] EDR policy review — coverage semua endpoint
[ ] Threat hunting — cari indikasi kompromi
[ ] Training IT staff — wiper response procedures
Yang HARUS Dilakukan Jika Terkena
╔══════════════════════════════════════════════════╗
║ JIKA TERKENA GIGAWIPER — RESPONSE PLAN ║
╚══════════════════════════════════════════════════╝
1. ISOLASI — SEGERA
├── Putuskan koneksi jaringan (fisik!)
├── Jangan reboot jika belum wipe
└── Isolasi segment network terdampak
2. JANGAN BAYAR TEBUSAN
├── Fake ransomware → tidak bisa didekripsi
└── Penyerang tidak akan merespons
3. AMANKAN BUKTI
├── Capture memory dump (jika memungkinkan)
├── Kumpulkan log sebelum terhapus
└── Foto layar BSOD / error messages
4. AKTIFKAN INCIDENT RESPONSE
├── Libatkan tim IR internal/eksternal
├── Hubungi Microsoft DART / konsultan forensik
└── Laporkan ke BSSN dan pihak berwenang
5. RECOVERY
├── Bersihkan total — rebuild dari scratch
├── Restore dari OFFLINE backup
├── Verifikasi integritas data restore
└── Pastikan backdoor sudah hilang SEBELUM
menghubungkan kembali ke jaringan
⚠ JANGAN:
├── Membayar tebusan
├── Mencoba decrypt sendiri
├── Reboot sistem yang masih hidup
└── Menghubungkan sistem terdampak ke network
Analisis Seraphim
GigaWiper menandai babak baru dalam malware destruktif — bukan hanya karena kemampuannya, tapi karena pendekatan modular dan efisiennya:
[ Analisis Seraphim News ]
STRATEGIC SIGNIFICANCE: ⬛⬛⬛⬛⬛ (MAXIMUM)
GigaWiper merepresentasikan EVOLUSI SIGNIFIKAN dalam
malware destruktif:
1. MODULARITAS = FLEKSIBILITAS
Operator bisa memilih "level" destruksi sesuai target.
Tidak perlu deploy tool berbeda untuk skenario berbeda.
Satu backdoor, tiga mode penghancuran.
2. KODE RECYCLE = EFISIENSI PENGEMBANGAN
Alih-alih menulis malware dari nol, aktor menghemat
waktu dengan merakit komponen yang sudah ada.
Ini mempercepat siklus pengembangan secara drastis.
3. GOLANG = PORTABILITAS
Berbeda dengan wiper sebelumnya yang biasanya C/C++,
GigaWiper menggunakan Golang — lebih mudah cross-compile,
statically linked, dan relatif sulit di-reverse.
4. FAKE RANSOMWARE = DECEPTION LAYER
Ini adalah inovasi taktis: membuat bingung defender,
membuang waktu investigasi, menyembunyikan motif asli.
5. C2 + DESTRUCTION = HYBRID THREAT
Kemampuan espionase SEBELUM destruksi membuat GigaWiper
berbahaya ganda: data bisa dicuri dulu, baru sistem
dihancurkan. Zero recovery, zero trace.
GEOPOLITICAL CONTEXT:
Pola ini konsisten dengan doktrin siber Iran: gunakan
alat destruktif untuk menghukum musuh, kirim pesan
politik, dan lumpuhkan infrastruktur kritis — bukan
untuk keuntungan finansial.
INDUSTRY WARNING:
Setiap organisasi dengan infrastruktur Windows yang
terhubung ke internet HARUS mengasumsikan mereka bisa
menjadi target. Backup offline bukan lagi "nice to have"
— ia adalah SYARAT HIDUP.
Severity Assessment
| Faktor | Nilai |
|---|---|
| Threat Level | CRITICAL |
| Attack Vector | Post-compromise (backdoor) |
| Destructive Capability | MAXIMUM (disk + partition + files) |
| Recovery Possibility | ZERO (tanpa offline backup) |
| Detection Difficulty | HIGH (Golang, modular) |
| Attribution | Iran (state-aligned) |
| Active Exploitation | CONFIRMED |
| Industry Impact | Critical Infrastructure, Enterprise, Government |
Sumber
- Microsoft Security — “Anatomy of a destructive backdoor: GigaWiper” (9 Juli 2026)
- Binary Defense — GigaWiper Technical Analysis
- Google Threat Intelligence Group (GTIG) — BLUERABBIT Tracking
- Infosecurity Magazine — “New GigaWiper Malware Combines Espionage & Destructive Capabilities”
- Threat-Modeling.com — GigaWiper / BLUERABBIT Analysis
- CISA — Destructive Malware Advisory
- MITRE ATT&CK — Disk Wipe (T1561), Data Encrypted for Impact (T1486)
