Wiper
Un wiper es un tipo de malware diseñado específicamente para destruir, corromper o eliminar irreversiblemente los datos en los sistemas infectados, atacando tanto los archivos de usuario como las estructuras críticas del sistema operativo (como el MBR, tablas de particiones o el sistema de archivos), con el objetivo de inutilizar los equipos y provocar interrupciones operativas prolongadas, a diferencia del ransomware que busca extorsión económica; su motivación suele ser el sabotaje, la desestabilización o la acción destructiva pura, comúnmente vinculado a ciberataques de tipo político, geopolítico o hacktivista, donde la recuperación sin copias de seguridad externas resulta prácticamente imposible.
Funcionamiento
Un wiper opera mediante un proceso sistemático de destrucción de datos que consta de varias fases. Primero, se propaga e infecta el sistema objetivo mediante vectores como phishing, explotación de vulnerabilidades o acceso remoto comprometido, a menudo utilizando credenciales robadas o herramientas de movimiento lateral como PsExec o WMI. Una vez con privilegios elevados (administrador o SYSTEM), desactiva los mecanismos de recuperación nativos, eliminando las copias de sombra (Volume Shadow Copy) con comandos como vssadmin delete shadows /all, deshabilitando la restauración del sistema y, en ocasiones, terminando servicios de bases de datos o antivirus que podrían interferir.
Luego, ejecuta su rutina destructiva principal: identifica y accede directamente a los dispositivos de almacenamiento (\\.\PhysicalDriveX) para sobrescribir sectores del disco con datos aleatorios, patrones específicos o ceros, destruyendo tanto el sistema de archivos como los datos de usuario. Simultáneamente, corrompe estructuras críticas como el Registro de Arranque Maestro (MBR), la Tabla de Particiones GUID (GPT) o la Tabla Maestra de Archivos (MFT) en sistemas NTFS, haciendo que el sistema sea imposible de iniciar. Finalmente, para completar el daño, puede eliminar registros de eventos (logs) y archivos de configuración, y en algunos casos, propagarse a otros sistemas de la red antes de forzar un reinicio o apagado que consolida la inoperabilidad, dejando los equipos inutilizables y requiriendo una reinstalación completa desde medios externos.
Mitigaciones
Desde el marco MITRE ATT&CK, las mitigaciones clave para prevenir un ataque de tipo wiper como DynoWiper se centran en proteger las etapas iniciales de su cadena de ataque. Es fundamental implementar controles estrictos en los vectores de ejecución inicial (T1204, T1566) mediante capacitación en phishing y listas de aplicaciones permitidas, y restringir los permisos de usuario (T1078) al principio de mínimos privilegios para limitar la capacidad de operar con derechos administrativos. Para contrarrestar su objetivo principal de impacto (T1485, T1486), es vital mantener copias de seguridad frecuentes, inmutables y aisladas (air-gapped), además de habilitar y proteger las funciones de recuperación nativas como VSS. La segmentación de red (T1590) y el monitoreo continuo con herramientas EDR para detectar comportamientos anómalos —como el uso de vssadmin, acceso a discos físicos o escrituras masivas— permiten una respuesta rápida antes de que se complete la destrucción de datos.