Un wiper es un tipo de malware de carácter destructivo, diseñado para borrar, corromper o inutilizar permanentemente datos y sistemas infectados. A diferencia de otro malware de primera línea como el ransomware, cuya funcionalidad es cifrar archivos para extorsionar, el wiper se centra en "reventar" todo, provocar una pérdida irreversible de información y dejar a los sistemas objetivo sin capacidad operativa.
Este tipo de malware suele aparecer principalmente en contextos de sabotaje (saludos a Sandworm) y en otras ocasiones en operaciones de espionaje que, tras conseguir exfiltrar información, despliegan este malware para dificultar actividades forenses. Atendiendo a cómo funciona este malware podemos entender que su propósito no tiene relación con obtener beneficios económicos sino en generar el mayor impacto posible sobre la continuidad de un negocio o servicio. Es decir, podríamos entender que un wiper es como un misil Tomahawk, su objetivo es que deje inservible el objetivo, no hay un plan posterior: quiero destruir estos sistemas y no preocuparme por ellos.
Como es común en este mundo, para conseguir un objetivo existen varios caminos: los wipers pueden actuar de diversas formas, unos eliminan archivos de forma directa, otros corrompen el sistema de archivos para impedir el acceso a los datos y otros sobrescriben el contenido con información basura. También se han observado variantes que atacan sectores críticos del disco, como el Master Boot Record o las tablas de particiones, dejando el sistema inutilizable desde el arranque.
Entre los ejemplos más conocidos se encuentran Shamoon, utilizado contra la multinacional Aramco y NotPetya, un ataque destructivo contra Ucrania que afectó globalmente a cientos de empresas de manera colateral. Rusia no se preocupó mucho por contener su ataque. Uno de los ataques más recientes que utilizó un wiper fue Handala, un grupo proiraní, contra Stryker (empresa de gestión hospitalaria de EE. UU.), en respuesta a la declaración de guerra de Estados Unidos contra Irán.
Algunos de los wipers más famosos del sector vienen de Rusia, sin amor, como por ejemplo: CaddyWiper, AcidRain o HermeticWiper. Industroyer contenía un wiper, pero no era exclusivamente un wiper… también era ruso, así que puntos extra.
Como resumen podemos entender que los ataques que despliegan un wiper suelen provenir de una APT en un contexto de tensión bastante alto, como puede ser considerado ya ciberguerra, de ahí los ataques de Irán o Rusia, países que ya se encontraban en una situación geopolítica bastante tensionada, tanto en el ámbito ciber como el convencional.
