# WhisperGaté
> Tipo: **wiper** · S0689 · [MITRE ATT&CK](https://attack.mitre.org/software/S0689)
## Visão Geral
[[whispergaté|WhisperGaté]] e um wiper de múltiplos estagios utilizado pelo [[g1003-ember-bear|Ember Bear]] (DEV-0586, atribuido ao Servico de Inteligência Militar russo - GRU Unidade 161) contra organizacoes governamentais, sem fins lucrativos e de tecnologia da informação na Ucrania a partir de 13 de janeiro de 2022 - semanas antes da invasao russa em grande escala de fevereiro de 2022. O malware e um exemplo paradigmatico de cyberarma destrutiva mascarada como ransomware: apresenta uma nota de "resgaté" exigindo US$ 10.000 em Bitcoin, mas nunca foi projetado para recuperar dados - a destruicao e o objetivo real.
O WhisperGaté opera em tres estagios coordenados. O **Estagio 1** e um corruptor de MBR (Master Boot Record) que reescreve o setor de boot com uma nota de resgaté falsa, tornando o sistema incapaz de inicializar. O **Estagio 2** e um downloader .NET que usa o Discord CDN como infraestrutura de distribuição, buscando o payload do Estagio 3. O **Estagio 3** e o wiper principal que enumera extensoes de arquivos alvo (Office, imagens, código-fonte, bancos de dados) e sobrescreve o conteudo com 1 MB de bytes `0xCC` fixos, tornando a recuperacao impossível.
O uso do Discord CDN como mecanismo de entrega foi inovador: aproveitou uma plataforma com dominio e certificado SSL legitimos, dificultando a detecção por proxies e firewalls. O [[whispergaté|WhisperGaté]] foi descoberto pela Microsoft MSTIC em 13 de janeiro de 2022 e foi o precursor da campanha mais ampla de wipers (incluindo [[s0697-hermeticwiper|HermeticWiper]], [[s0693-caddywiper|CaddyWiper]]) que acompanhou a invasao militar russa.
**Plataformas:** Windows
## Como Funciona
A arquitetura de tres estagios do WhisperGaté e deliberadamente modular para dificultar análise e atribuicao:
**Estagio 1 - Corruptor de MBR:**
- Executavel de 189 KB escrito em C
- Sobrescreve os primeiros 512 bytes do disco (setor MBR) com a nota de resgaté
- Executa `wevtutil cl` para limpar logs de eventos do Windows
- Agenda reinicializacao via `shutdown.exe /r /f` para ativar o bloqueio de boot
**Estagio 2 - Downloader .NET:**
- Binario .NET de 133 KB ofuscado com ConfuserEx
- Busca o Estagio 3 de um canal Discord (via URL hardcoded para attachment)
- Usa InstallUtil.exe (T1218.004) como loader LOLBin para evasão
- Descomprime payload com código customizado (nao usa APIs de descompressao padrao)
**Estagio 3 - Wiper de Arquivos:**
- Carregado via carregamento reflexivo de código (T1620)
- Enumera drives e pastas, buscando 189 extensoes-alvo (.docx, .xlsx, .pdf, .py, .sql, .mdb, etc.)
- Sobrescreve o conteudo de cada arquivo com 1 MB do byte `0xCC`
- Renomeia arquivos com extensao de 4 bytes aleatorios para dificultar recuperacao parcial
A separacao entre destruicao de MBR (Estagio 1) e wipe de arquivos (Estagio 3) maximiza o impacto: mesmo que o Estagio 3 sejá detectado e bloqueado, o sistema já nao pode mais inicializar após reinicializacao.
## Attack Flow
```mermaid
graph TB
A["Comprometimento Inicial<br/>Acesso previo ao ambiente<br/>alvo (mecanismo nao divulgado)"] --> B["Deploy Estagio 1<br/>Corruptor MBR<br/>Nota de resgaté falsa"]
B --> C["Limpeza de Logs<br/>wevtutil cl - remove<br/>rastros de eventos Windows"]
C --> D["Reinicializacao Agendada<br/>Sistema nao inicializa mais<br/>MBR sobrescrito"]
D --> E["Estagio 2 Download<br/>Payload via Discord CDN<br/>InstallUtil como loader LOLBin"]
E --> F["Wipe de Arquivos<br/>189 extensoes alvo<br/>Sobrescrita com 0xCC"]
classDef init fill:#1a5276,color:#fff,stroke:#154360
classDef mbr fill:#c0392b,color:#fff,stroke:#922b21
classDef clean fill:#7f8c8d,color:#fff,stroke:#626567
classDef boot fill:#922b21,color:#fff,stroke:#6e2318
classDef down fill:#8e44ad,color:#fff,stroke:#6c3483
classDef wipe fill:#641e16,color:#fff,stroke:#4a1010
class A init
class B mbr
class C clean
class D boot
class E down
class F wipe
```
**Nota:** Atribuido ao [[g1003-ember-bear|Ember Bear]] pela Microsoft MSTIC. Descoberto em 13/01/2022, semanas antes da invasao militar russa.
## Timeline
```mermaid
timeline
title WhisperGaté - Contexto da Campanha 2022
2022-01-13 : Microsoft MSTIC descobre WhisperGaté em organizacoes ucranianas
2022-01-14 : Defacement de 70 sites governamentais ucranianos
2022-01-15 : CISA e FBI publicam alerta conjunto sobre WhisperGaté
2022-02-23 : HermeticWiper detectado - horas antes da invasao
2022-02-24 : Invasao militar russa em grande escala da Ucrania
2022-03 : CaddyWiper implantado - continuacao da campanha destrutiva
2022-04 : Industroyer2 descoberto - ataque a rede eletrica ucraniana
```
## Técnicas MITRE ATT&CK
| Técnica | Descrição |
|---------|-----------|
| [[t1542-003-bootkit\|T1542.003]] | Bootkit - sobrescrita do MBR para bloquear inicializacao |
| [[t1561-002-disk-structure-wipe\|T1561.002]] | Disk Structure Wipe - corrupcao irreversivel do MBR |
| [[t1561-001-disk-content-wipe\|T1561.001]] | Disk Content Wipe - sobrescrita de 189 tipos de arquivos |
| [[t1485-data-destruction\|T1485]] | Data Destruction - objetivo principal do malware |
| [[t1218-004-installutil\|T1218.004]] | InstallUtil - LOLBin para carregamento do Estagio 3 |
| [[t1620-reflective-code-loading\|T1620]] | Reflective Code Loading - payload Estagio 3 sem toque em disco |
| [[t1071-001-web-protocols\|T1071.001]] | Web Protocols - Discord CDN como infraestrutura C2/entrega |
| [[t1070-004-file-deletion\|T1070.004]] | File Deletion - remoção de logs e rastros |
## Grupos que Usam
- [[g1003-ember-bear|Ember Bear]] (DEV-0586, UAC-0056 - atribuicao Microsoft MSTIC, Mandiant, CERT-UA)
## Malware Associado
- [[s0697-hermeticwiper|HermeticWiper]] - wiper destrutivo subsequente (fev/2022, atribuido ao Sandworm)
- [[s0693-caddywiper|CaddyWiper]] - wiper subsequente (mar/2022), sem sobreposicao de código com WhisperGaté
- [[industroyer2|Industroyer2]] - cyberarma ICS da mesma campanha (abr/2022)
- [[hermetic-wizard|HermeticWizard]] - worm de propagação complementar ao HermeticWiper
## Detecção
A arquitetura de tres estagios do WhisperGaté cria múltiplas oportunidades de detecção antes da destruicao ser completada:
**Estagio 1 (MBR):**
- Monitorar escritas ao setor fisico do disco (`\\.\PhysicalDrive0`) por processos nao relacionados a ferramentas de boot/particionamento
- Event ID 4688 (Process Creation): execução de `shutdown.exe /r /f` por processos incomuns
**Estagio 2 (Download):**
- Detectar uso de `InstallUtil.exe` para carregar assemblies .NET de diretorios temporarios
- Alertar para downloads de `cdn.discordapp.com` em ambientes corporativos (incomum)
- YARA rule para identificar o ofuscador ConfuserEx em binarios .NET
**Estagio 3 (Wipe):**
- EDR: alertar para acesso de escrita em massa a arquivos em múltiplos diretorios em curto intervalo (comportamento de wiper)
- Detectar carregamento reflexivo de código (.NET assembly `Load()` de memória)
- Sysmon Event ID 11 (FileCreaté) em volume anormal
> [!danger] Wiper - Sem Recuperacao
> A sobrescrita com `0xCC` e a corrupcao do MBR sao irreversiveis. Backups offline testados sao a única proteção efetiva. A nota de resgaté e falsa - nenhum pagamento recupera os dados.
## Relevância LATAM/Brasil
O [[whispergaté|WhisperGaté]] e os wipers da campanha russo-ucraniana sao diretamente relevantes para o Brasil em tres dimensoes. Primeiro, as **técnicas de destruicao de dados** (MBR wipe, sobrescrita de arquivos por extensao) sao replicadas por grupos de ransomware que destroem dados após falha de negociacao - uma ameaça ativa no Brasil. Segundo, o uso do **Discord CDN como infraestrutura de entrega** foi amplamente adotado por grupos de malware que operam na LATAM - o Discord e uma plataforma popular no Brasil, tornando esse vetor especialmente eficaz. Terceiro, o modelo de **wiper disfarçado de ransomware** foi replicado por grupos como [[alphv-blackcat|ALPHV/BlackCat]] em algumas variantes observadas no Brasil. O [[cert-br|CERT.br]] e o CTIR Gov monitoram ativamente TTPs de grupos estado-nacao que possam ser adaptados para uso em contexto brasileiro.
## Referências
- [MITRE ATT&CK - S0689](https://attack.mitre.org/software/S0689)
- [Microsoft MSTIC - Destructive Malware Targeting Ukrainian Organizations](https://www.microsoft.com/en-us/security/blog/2022/01/15/destructive-malware-targeting-ukrainian-organizations/)
- [CISA - Destructive Malware Targeting Organizations in Ukraine](https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-057a)
- [Mandiant - Suspected Russian Activity Targeting Government and Business Entities Around the Globe](https://www.mandiant.com/resources/blog/suspected-russian-activity-targeting-government-and-business)
- [Unit 42 - WhisperGaté: Analysis of a Destructive Malware](https://unit42.paloaltonetworks.com/whispergaté/)