Ein Wiper ist zerstörerische Malware, die Daten dauerhaft löscht oder beschädigt und Systeme unbrauchbar macht, statt Informationen zu stehlen oder Geld zu erpressen.
Wie Wiper funktionieren
Wiper überschreiben Dateien mit Zufallsdaten, zerstören den Master Boot Record oder Partitionstabellen, beschädigen Firmware oder verschlüsseln Daten mit einem Schlüssel, der sofort verworfen wird. Manche tarnen sich bewusst als Ransomware und zeigen eine Lösegeldforderung, obwohl eine Wiederherstellung unmöglich ist – das „Lösegeld“ ist nur Tarnung für Sabotage. Meist werden Wiper am Ende eines langen Einbruchs eingesetzt, nachdem die Angreifer Domänen-Admin-Rechte erlangt haben, um Tausende Rechner gleichzeitig zu treffen.
Bekannte Wiper-Angriffe
- Shamoon (2012) – löschte Daten auf rund 30.000 Arbeitsplatzrechnern von Saudi Aramco.
- NotPetya (2017) – verbreitete sich über ein kompromittiertes Update einer ukrainischen Buchhaltungssoftware; die US-Regierung bezifferte den weltweiten Schaden auf rund 10 Milliarden US-Dollar.
- WhisperGate, HermeticWiper und weitere (2022) – eine Welle von Wipern gegen ukrainische Organisationen zu Beginn der russischen Invasion; AcidRain legte Zehntausende Satellitenmodems lahm.
Warum Wiper wichtig sind
Wiper sind eine Waffe staatlicher Akteure und APT-Gruppen in geopolitischen Konflikten, aber auch von Hacktivisten und gelegentlich Kriminellen. Ziele sind kritische Infrastruktur, Behörden und Unternehmen, deren Ausfall politische Wirkung entfaltet. Verhandeln lässt sich nicht: Ohne Backups sind die Daten verloren.
So bereiten Sie sich vor
- Offline- oder unveränderliche Backups vorhalten und die Wiederherstellung regelmäßig testen.
- Domänen-Admin-Konten schützen und das Netzwerk segmentieren, um den Schaden zu begrenzen.
- Massenhafte Dateiänderungen und ungewöhnliche Nutzung von Admin-Werkzeugen wie Gruppenrichtlinien überwachen.
- Einen Incident-Response-Plan für den Neuaufbau von Systemen haben.
Wie andere Malware gelangen Wiper oft über verwundbare internetseitige Systeme oder gestohlene Zugangsdaten ins Netz.
