wiper

Wiper to złośliwe oprogramowanie, którego celem jest trwałe zniszczenie danych albo systemu, a nie zysk. CERT Polska opisuje je po polsku jako złośliwe oprogramowanie uszkadzające pliki, a atak z jego użyciem jako sabotaż w postaci nieodwracalnego uszkodzenia danych na urządzeniach w sieci wewnętrznej ^[1]. Wiper często udaje ransomware: wyświetla żądanie okupu, choć odzyskanie danych nie jest przewidziane. Niebezpiecznik ujmuje to krótko: program szyfruje dane, ale nie umożliwia ich odszyfrowania ^[3].

Jak działa

Wiper zwykle nie jest pierwszym etapem ataku. Sprawca najpierw zdobywa dostęp do sieci, przejmuje konta uprzywilejowane i rozsyła narzędzie niszczące na wiele maszyn naraz. Tak CERT Polska opisał atak na polski sektor energii: po dłuższej infiltracji infrastruktury i kradzieży poświadczeń napastnicy uzyskali dostęp do kont uprzywilejowanych, a potem uruchomili wiper w sieci wewnętrznej ^[1].

Kolejne etapy pokazuje schemat poniżej.

RYS. 1Typowy przebieg ataku z użyciem wipera

Sam mechanizm niszczenia bywa różny. Najczęstsze techniki opisane w źródłach to:

• nadpisanie rekordu rozruchowego (MBR), po którym system nie wystartuje; tak działał pierwszy etap wipera opisanego przez Microsoft w 2022 roku ^[2];
• nadpisywanie zawartości plików stałym bajtem i zmiana ich rozszerzeń, bez mechanizmu odzyskiwania ^[2];
• szyfrowanie z kluczem, którego nikt nie zachowuje; w przypadku NotPetya CISA nie znalazła związku między kluczem szyfrowania a identyfikatorem ofiary, więc odzyskanie plików po zapłacie okupu wydawało się mało prawdopodobne ^[4];
• usuwanie metadanych partycji i nadpisywanie sektorów dysku losowymi bajtami, jak w analizowanym w 2026 roku programie GigaWiper ^[5].

Wiper a ransomware

Różnica leży w celu, a nie w technice. Oba rodzaje mogą szyfrować dane i wyświetlać żądanie okupu.

Microsoft uznał wiper z 2022 roku za narzędzie niszczące właśnie po takich cechach: ten sam ładunek u wielu ofiar, jeden adres portfela bitcoin i brak identyfikatorów pozwalających dopasować klucz do ofiary ^[2]. Granica bywa płynna: GigaWiper łączy w jednym programie funkcje wipera, złodzieja danych i ransomware ^[5].

W WordPressie

Klasyczne wipery atakują dyski serwerów i stacji roboczych, a nie pojedyncze aplikacje. Strona WordPress może jednak stracić dane w podobny sposób: przez zniszczenie plików lub bazy na serwerze, na którym działa. Szczególnie groźna jest podatność pozwalająca usunąć dowolny plik.

Badacze Sonar opisali taki błąd w rdzeniu WordPressa: użytkownik z rolą autora mógł usunąć dowolny plik instalacji ^[7]. Usunięcie wp-config.php uruchamiało ponownie instalator, co pozwalało przejąć witrynę i wykonać kod na serwerze ^[7]. Błąd zgłoszono 20 listopada 2017 roku, a poprawiono w wersji 4.9.7 z 5 lipca 2018 roku ^[7]. Przykład pokazuje, że niszczenie danych w WordPressie często jest krokiem do przejęcia, a nie celem samym w sobie. Pokazuje też, dlaczego ważne są role i uprawnienia użytkowników: przejęcie konta o niskich uprawnieniach wystarczało do ataku ^[7].

Obroną przed utratą danych jest kopia zapasowa. Dokumentacja WordPressa wymaga kopii zarówno bazy danych, jak i plików, bo do pełnego odtworzenia typowej witryny potrzebne są obie części ^[6]. Zaleca trzymanie 3–5 ostatnich kopii w różnych miejscach, na przykład na serwerze, w chmurze i na komputerze lokalnym ^[6]. Kopia przechowywana tylko na tym samym serwerze zginie razem z nim, jeśli wiper albo napastnik zniszczy dysk.

Zagrożenia i skutki

• Trwała utrata danych. Pliki nadpisane stałym bajtem nie mają mechanizmu odzyskania ^[2].
• Niedziałające urządzenia. Nadpisanie MBR czyni komputer bezużytecznym ^[2][4].
• Skutki fizyczne. W ataku na polską energetykę w grudniu 2025 roku odnotowano uszkodzenie oprogramowania wbudowanego sterowników i usuwanie plików systemowych ^[1], co łączy temat z bezpieczeństwem infrastruktury krytycznej.
• Bezcelowość okupu. Zapłata nic nie daje, na co zwracał uwagę Niebezpiecznik ^[3].

Jak się bronić

Ponieważ celem jest zniszczenie, jedyną pewną drogą powrotu jest odtworzenie danych z kopii, której wiper nie dosięgnął. Niebezpiecznik zalecał firmom zweryfikowanie procedur tworzenia kopii zapasowych ^[3]. Użyteczna jest kopia niezmienna oraz plan odtworzenia z określonymi celami RTO i RPO.

Pozostałe środki utrudniają dotarcie do etapu niszczenia. Microsoft zalecał włączenie uwierzytelniania wieloskładnikowego i przegląd uwierzytelniania dostępu zdalnego, a także funkcję kontrolowanego dostępu do folderów, która blokuje modyfikację MBR ^[2]. CERT Polska po incydencie w energetyce zalecił między innymi przegląd logów pod kątem wskaźników kompromitacji, rejestrację w serwisie moje.cert.pl i utwardzanie systemów OT ^[1]. Ogranicza się też lateral movement, bo wiper rozsyłany z jednego przejętego konta administratora trafia do każdej maszyny, do której to konto ma dostęp.

Historia i przykłady

NotPetya (2017). Wybuch nastąpił 27 czerwca 2017 roku ^[4]. Program szyfrował pliki i MBR, rozprzestrzeniał się przez PsExec, WMI oraz exploity SMBv1 EternalBlue i EternalRomance ^[4]. Formalnie wyglądał jak ransomware, ale odzyskanie plików po zapłacie uznano za mało prawdopodobne ^[4].

Wiper w Ukrainie (2022). Microsoft zauważył go 13 stycznia 2022 roku i przypisał grupie DEV-0586 ^[2]. Pierwszy etap nadpisywał MBR fałszywym żądaniem 10 tysięcy dolarów w bitcoinach, drugi niszczył pliki o ponad 200 rozszerzeniach ^[2]. Niebezpiecznik ostrzegał polskie firmy powiązane z Ukrainą, przypominając, że NotPetya w 2017 roku przeniósł się do polskich firm przez połączenia sieciowe ^[3].

Polska energetyka (2025). 29 grudnia 2025 roku doszło do skoordynowanych ataków na co najmniej 30 farm wiatrowych i fotowoltaicznych, dużą elektrociepłownię zaopatrującą około 500 tysięcy odbiorców i firmę produkcyjną ^[1]. CERT Polska powiązał sprawców z klastrami znanymi jako Static Tundra, Berserk Bear, Ghost Blizzard i Dragonfly ^[1].