Limpiador (malware)

En seguridad informática , un "wiper" es un tipo de malware diseñado para borrar (de ahí su nombre) el disco duro u otra memoria estática del ordenador que infecta, eliminando maliciosamente datos y programas.

Se alega que un programa malicioso denominado "Wiper" se utilizó en ataques contra compañías petroleras iraníes . En 2012, la Unión Internacional de Telecomunicaciones proporcionó a Kaspersky Lab discos duros supuestamente dañados por Wiper para su análisis. Si bien no se pudo encontrar una muestra del supuesto programa malicioso, Kaspersky descubrió rastros de otro programa malicioso conocido como Flame . ^{[ 1 ] [ 2 ] [ 3 ]}

El malware Shamoon contenía un mecanismo de borrado de disco; se empleó en ataques de malware de 2012 y 2016 dirigidos a empresas energéticas saudíes, y utilizaba un controlador de acceso directo a la unidad comercial conocido como Rawdisk . La variante original sobrescribía archivos con fragmentos de una imagen de una bandera estadounidense en llamas . La variante de 2016 era casi idéntica, excepto que utilizaba una imagen del cuerpo de Alan Kurdi . ^{[ 4 ] [ 5 ]}

Se utilizó un componente de borrado como parte del malware empleado por el Grupo Lazarus —un grupo de ciberdelincuentes con supuestos vínculos con Corea del Norte— durante el ciberataque a Corea del Sur en 2013 y el ataque informático a Sony Pictures en 2014. ^{[ 6 ] [ 7 ] [ 8 ]} El ataque a Sony también utilizó RawDisk. ^{[ 4 ]}

En 2017, ordenadores de varios países, principalmente Ucrania , fueron infectados por NotPetya , una variante del ransomware Petya que, en la práctica, borraba datos. El malware infectaba el registro de arranque maestro con una carga útil que cifraba la tabla de archivos interna del sistema de archivos NTFS . Aunque seguía exigiendo un rescate, se descubrió que el código había sido modificado significativamente, de modo que la carga útil no podía revertir los cambios, incluso si el rescate se pagaba con éxito. ^{[ 9 ] [ 10 ]}

Se descubrieron varias variantes de malware de borrado de datos durante los ciberataques de 2022 contra sistemas informáticos asociados a Ucrania. Los investigadores los denominaron CaddyWiper , HermeticWiper , IsaacWiper y FoxBlade , pero estos programas mostraron poca relación entre sí, lo que generó especulaciones de que fueron creados por diferentes actores patrocinados por el Estado ruso específicamente para esta ocasión. ^{[ 11 ]}

Se sabe que algunas variantes de ransomware también incluyen un componente de borrado. ^{[ 12 ] [ 13 ]} Un ejemplo notable de esto fue el ransomware Jigsaw , que tenía una función que borraba archivos cada hora, así como 1000 archivos cada vez que se reiniciaba el equipo. Después de 72 horas, si no se pagaba el rescate, se borraba todo el disco. ^{[ 14 ]}

La redundancia reactiva es una posible solución para la protección contra la destrucción de datos. Los investigadores pueden crear sistemas capaces de analizar los búferes de escritura antes de que lleguen a un medio de almacenamiento, determinar si la escritura es destructiva y preservar los datos en riesgo de destrucción. ^{[ 15 ]} Además, las copias de seguridad periódicas (siempre que se almacenen en un dispositivo externo) permiten restaurar los datos perdidos.