4. Command12：WipeCMain 单系统盘多层安全擦除 复刻 FlockWiper 恶意软件核心逻辑，原 FlockWiper 为 C 语言开发，GigaWiper 将整套代码重写为 Golang 版本，仅针对 C 盘 Windows 系统分区执行多轮覆写，依次填充 0、0xFF、随机字节三类数据，每一轮擦除完成输出耗时日志，多次覆写后磁盘数据彻底不可逆

间谍监控类常驻指令（后台静默运行）

Command9：多显示器截屏，按时间戳 + 显示器序号保存 PNG 图片至本地目录

Command10：闲置 10 秒且设备解锁时自动录屏，视频统一存储在 C:\ProgramData\output 文件夹，属于后台持续运行指令

Command20：搭建 TCP 远程控制服务，类 VNC 完整接管键鼠与屏幕画面，自动删除原有同名防火墙规则，新建伪装成系统程序的出入站放行规则，端口由黑客远程指定

系统管控类管理指令

Command15：采集完整设备资产信息，分简短 / 完整两种模式，抓取本机 IP、硬件 GUID、CPU、操作系统、固件、账号、杀毒软件清单

Command16：进程管理器，支持创建、暂停、终止、列举进程、读取进程详细资源占用数据

Command17：服务管理器，可新建、删除、启停、查询 Windows 系统服务

Command18：注册表交互式编辑器，支持遍历、跳转、新建、删除注册表项与键值，后台开辟独立协程持续维持会话状态

Command19：清空 Windows 系统日志，优先用 wevtutil 清理安全日志，工具失效则直接删除 Security.evtx 日志文件，抹除入侵操作痕迹

辅助渗透指令

Command4：调用 MinIO 客户端 mc.exe，将本机文件上传至黑客私有对象存储，参数可自定义存储服务器地址、账号、桶名称、本地文件路径

Command5：通用 AES256-CBC 加解密工具，可由服务器下发密钥 IV，也能本地生成密钥保存至 key.txt 文件

Command7：PowerShell 交互式 shell，自动拼接标记符区分命令输出与当前工作目录，支持清空任务队列、切换工作目录等特殊操作

Command8：RabbitMQ 路由管理，绑定 / 解绑 / 更新消息路由密钥，切换广播、定向两种控制模式

microsoft.com/en-us/security/blog/2026/07/09/gigawiper-anatomy-of-a-destructive-backdoor-assembled-from-multiple-malware/

这款后门最具行业警示性的特点，是它并非从零开发，而是黑客整合三款过往成熟破坏工具，把不同恶意软件的核心代码模块化嵌入单一程序，大幅降低攻击开发成本

1. 独立全盘 wiper 模块（Command1） 初代独立磁盘擦除程序，单独编译可直接运行，完整嵌入后门作为内置指令，负责销毁全部物理硬盘分区与数据
2. Crucio 勒索软件改造模块（Command3） 复用 2023 年曝光的 Crucio 勒索加密逻辑，剔除勒索赎金流程，移除密钥存储代码，把勒索工具改造为纯销毁组件，加密后永久丢失文件
3. FlockWiper 安全擦除模块（Command12） 原版 FlockWiper 为 C 语言开发的单盘擦除工具，2025 年 6 月上传至病毒样本库，黑客将其完整转译为 Golang 代码集成进 GigaWiper，FlockWiper 样本 PDB 调试路径带有 GRAT 标识，同时 GigaWiper 大量函数名包含 GRAT 前缀，形成明确代码关联证据 三者共用一套底层开发框架，统一封装为后门可调用指令，黑客能根据攻击目标灵活选择销毁方式，既可以全盘清空硬盘，也能只破坏系统盘，或是伪装勒索加密文件，兼顾隐蔽侦察与毁灭性打击

GigaWiper 的出现代表破坏性网络攻击进入全新阶段，过去擦除病毒、后门、勒索软件相互独立，如今黑客直接搭建模块化整合框架，把间谍监控、远程运维、多重数据销毁能力打包一体，入侵周期拉长、隐蔽性大幅提升 它不会像传统勒索软件一上线就加密文件，而是潜伏在设备中长期收集商业机密，一旦攻击者察觉入侵暴露、取证调查，立刻下发销毁指令彻底抹除所有数据，对政企单位核心业务数据存在毁灭性风险。