# Destover
> [!high] Wiper destrutivo do Lazarus Group - usado no maior ataque de sabotagem cibernética documentado contra empresa privada
> O Destover foi a arma central do ataque à Sony Pictures em novembro de 2014, sobrescrevendo MBR e dados de discos de forma irreversível e causando danos estimados em dezenas de milhões de dólares.
## Visão Geral
[[destover|Destover]] é um malware de destruição de dados (wiper) desenvolvido e utilizado pelo [[g0032-lazarus-group|Lazarus Group]], grupo de ameaça persistente avançada atribuído pelo governo norte-americano à Coreia do Norte. O Destover tornou-se internacionalmente conhecido pelo papel central no ataque à Sony Pictures Entertainment em novembro de 2014 - considerado o caso mais impactante de sabotagem cibernética contra uma empresa privada até então. O ataque revelou uma capacidade do [[g0032-lazarus-group|Lazarus Group]] além do seu perfil mais conhecido de roubo financeiro: destruição destrutiva deliberada como instrumento geopolítico.
O ataque à Sony foi motivado pelo filme "The Interview", que retratava a assassinação fictícia do líder norte-coreano Kim Jong-un. A operação envolveu meses de acesso não detectado à rede da Sony, durante os quais os atacantes exfiltraram terabytes de dados sensíveis (e-mails de executivos, roteiros, dados de funcionários, informações financeiras) antes de implantar o Destover para destruição. O wiper sobrescreveu o Master Boot Record (MBR) de milhares de estações de trabalho e servidores, tornando os sistemas inoperantes. A Sony estimou danos entre 35 e 100 milhões de dólares apenas em custos de recuperação.
A análise do Destover revelou três variantes distintas (WhiskeyAlfa, WhiskeyBravo e WhiskeyDelta), cada uma com responsabilidade diferente na operação: reconhecimento e implantação, destruição propriamente dita e comunicação C2. Esta arquitetura modular reflete o nível de planejamento e sofisticação operacional do [[g0032-lazarus-group|Lazarus Group]]. O caso Sony estabeleceu precedente para atribuição pública de estados por ataques cibernéticos, com os EUA fazendo atribuição formal à Coreia do Norte em dezembro de 2014.
**Plataformas:** Windows
## Como Funciona
O Destover opera em múltiplas fases separadas no tempo. Na fase de reconhecimento e acesso (semanas a meses antes), backdoors de acesso remoto (variante WhiskeyAlfa) são instalados como serviços do Windows para persistência. Na fase de preparação, o wiper propriamente dito é distribuído via SMB (porta 445) para sistemas-alvo na rede interna.
Na fase de destruição, o componente de wiper sobrescreve o MBR com dados aleatórios ou zeros, sobrescreve sequencialmente o conteúdo dos discos (incluindo o sistema de arquivos), e em seguida força reinicialização. O sistema resultante é incapaz de inicializar e os dados são irrecuperáveis sem backup offline. Um timer de 2 horas no código foi identificado, sugerindo execução coordenada e simultânea em múltiplos sistemas para maximizar o impacto antes que qualquer resposta fosse possível. A configuração do wiper era armazenada cifrada no arquivo `net_ver.dat`.
## Attack Flow Destover
```mermaid
graph TB
A["Acesso Inicial<br/>Spear-phishing<br/>Credenciais comprometidas"] --> B["Reconhecimento prolongado<br/>Meses na rede Sony<br/>WhiskeyAlfa backdoor"]
B --> C["Exfiltração de dados<br/>E-mails roteiros SSN<br/>Terabytes copiados"]
C --> D["Distribuição do wiper<br/>SMB porta 445<br/>WhiskeyBravo implantado"]
D --> E["Execução coordenada<br/>Timer 2 horas<br/>Todos os sistemas simultaneos"]
E --> F["Destruicao MBR<br/>T1561 Disk Wipe<br/>Reinicializacao forcada"]
F --> G["Sistemas inoperantes<br/>Danos 35-100M USD<br/>Exfil publicada online"]
classDef initial fill:#dc2626,color:#fff
classDef recon fill:#ea580c,color:#fff
classDef exfil fill:#ca8a04,color:#000
classDef deploy fill:#3b82f6,color:#fff
classDef trigger fill:#7c3aed,color:#fff
classDef destroy fill:#0f172a,color:#fff
classDef impact fill:#16a34a,color:#fff
class A initial
class B recon
class C exfil
class D deploy
class E trigger
class F destroy
class G impact
```
## Linha do Tempo
```timeline
Setembro 2014 : Acesso inicial a rede Sony
: Campanha de spear-phishing
Outubro-Novembro 2014 : Reconhecimento extenso
: Exfiltração de TB de dados
24 Novembro 2014 : Destover ativado
: Destruicao em massa Sony Pictures
Dezembro 2014 : EUA atribuem formalmente a DPRK
: FBI e Casa Branca fazem declaracao
Janeiro 2015 : Análise técnica publicada
: WhiskeyAlfa/Bravo/Delta identificados
2016 : Lazarus Group usa wipers contra bancos
: Nexo entre Destover e campanhas bancarias
2022 : Wipers russos na Ucrania seguem modelo Destover
: HermeticWiper HermeticWizard citam precedente
```
## TTPs
- [[t1485-data-destruction|T1485 - Data Destruction]]
- [[t1561-disk-content-wipe|T1561 - Disk Content Wipe]]
- [[t1529-system-shutdown-reboot|T1529 - System Shutdown/Reboot]]
- [[t1082-system-information-discovery|T1082 - System Information Discovery]]
- [[t1543-003-windows-service|T1543.003 - Windows Service]]
- [[t1059-003-windows-command-shell|T1059.003 - Windows Command Shell]]
- [[t1083-file-and-directory-discovery|T1083 - File and Directory Discovery]]
## Grupos que Usam
- [[g0032-lazarus-group|Lazarus Group]]
## Relevância LATAM/Brasil
O [[g0032-lazarus-group|Lazarus Group]] tem histórico documentado de operações contra o sistema financeiro brasileiro, incluindo tentativas contra o sistema de pagamentos interbancário SPB e o roubo virtual do banco central do Bangladesh (2016), onde o Brasil foi usado como intermediário na lavagem dos fundos roubados via Banco do Astro no Rio de Janeiro.
A capacidade de wiper do Destover, combinada com o perfil operacional do [[g0032-lazarus-group|Lazarus Group]], representa uma ameaça de nível catastrófico para qualquer organização brasileira visada: além do roubo financeiro característico do grupo, campanhas de sabotagem destrutiva poderiam ser direcionadas a infraestrutura crítica brasileira em contextos de escalada geopolítica. A Coreia do Norte possui motivação e capacidade demonstrada para ataques destrutivos além do crime financeiro. Organizações de infraestrutura crítica brasileira (energia, telecomúnicações, financeiro) devem incluir cenários de wiper em seus planos de resposta a incidentes e disaster recovery.
## Detecção
- Monitorar acesso de escrita direto ao MBR/VBR (setor 0 do disco) por processos não relacionados a ferramentas de recuperação ([[t1561-disk-content-wipe|T1561]])
- Detectar sobrescrita de arquivos em massa com padrão de escrita sequencial rápida - indica destruição ativa ([[t1485-data-destruction|T1485]])
- Alertar para instalação de serviços Windows com drivers de disco de baixo nível por processos incomuns ([[t1543-003-windows-service|T1543.003]])
- Monitorar propagação lateral via SMB porta 445 de um mesmo processo para múltiplos hosts - padrão de distribuição do wiper
- **Controle mais eficaz:** backups offline imutáveis testados regularmente - única mitigação efetiva contra destruição de dados irreversível
## Referências
- [1](https://attack.mitre.org/software/S0186) MITRE ATT&CK - S0186 Destover (2024)
- [2](https://www.mandiant.com/resources/blog/update-to-the-sony-breach) Mandiant - Updaté to the Sony Breach: Attribution and Technical Analysis (2015)
- [3](https://www.us-cert.gov/ncas/alerts/aa14-353a) US-CERT - Alert AA14-353A Destructive Malware (2014)
- [4](https://www.crowdstrike.com/blog/destructive-cyber-attacks-on-sony/) CrowdStrike - Destructive Cyber Attacks on Sony (2014)
- [5](https://attack.mitre.org/groups/G0032) MITRE ATT&CK - G0032 Lazarus Group (2024)