في بداية عام 2018، حذّرت العديد من شركات الأمن والخبراء المستقلين من ظهور شبكة روبوتات (botnet) للتعدين تستخدم أجهزة مصابة لاستخراج عملة مونيرو المشفرة. ووفقًا للخبراء، فقد انخفض عدد أجهزة الحاسوب المصابة من 500,000 إلى 1,000,000 جهاز، وقد «كسب» مشغّلو البرمجيات الخبيثة نحو 8,900 مونيرو (أي ما يقارب مليوني دولار وفق سعر الصرف السائد آنذاك).
أُطلق على هذه البرمجية الخبيثة اسم WannaMine، وقد كشف عن هذا التهديد المختصون في شركة CrowdStrike. ولا شك أن أوجه الشبه مع WannaCry ليست مصادفة؛ فلنشر البرمجيات الخبيثة استُخدمت الثغرتان EternalBlue (CVE-2017-0144) وEsteemAudit (CVE-2017-0176) اللتان تستهدفان أجهزة Windows الضعيفة. وأسماء هذه الثغرات معروفة لا لدى متخصصي أمن المعلومات فحسب، بل حتى لدى المستخدمين العاديين، إذ إن EternalBlue هي التي استُخدمت في ربيع عام 2017 لنشر برمجية الفدية WannaCry التي لاقت صدى واسعًا.
ودعوني أذكّركم بأنه في صيف عام 2016 تمكنت مجموعة من القراصنة تُطلق على نفسها اسم The Shadow Brokers من سرقة أدوات القرصنة الإلكترونية من مختصي وكالة الأمن القومي الأمريكية (NSA). ولفترة طويلة حاول القراصنة دون جدوى بيع «السلاح السيبراني» الذي بين أيديهم، لكنهم لم ينجحوا في تنظيم مزاد ولا في العثور على مشترٍ مباشر. وبعد ذلك، في أبريل 2017، نشرت المجموعة البيانات المسروقة مجانًا في المجال العام.
وقد استخدم مبتكرو WannaCry هذه الأدوات الجاهزة من ترسانة وكالة الأمن القومي (أو بالأحرى ثغرتي EternalBlue وDoublePulsar). كما اعتمد مبتكرو NotPetya، وهي برمجية خبيثة أخرى، واستغلالات أجهزة استخبارات خاصة، وكذلك برمجية التعدين Adylkuzz وغيرها.
وقد أصلحت Microsoft الثغرات المذكورة أعلاه، التي تستخدم أدوات مسروقة من وكالة الأمن القومي، وأعدّت تحديثات أمنية لأنظمة تشغيل قديمة وغير مدعومة، ولا سيما Windows XP وWindows 8 وWindows Server 2003. ومع ذلك، فحتى بعد مرور عام، لم تكن شركات ومستخدمون كثيرون يهتمون بتطبيق هذه التحديثات.
وحذّر محللو Cybereason من أن البرمجيات الخبيثة WannaMine لا تزال نشطة وأنها تصيب شبكات الشركات الكبرى. وقال الخبراء إنه في الآونة الأخيرة هاجمت برمجية تعدين خبيثة أحد عملائهم، وهو شركة كبيرة تضم فروعها حول العالم ضمن قائمة Fortune 500. فبعد أن تسلل البرنامج الخبيث إلى جهاز ضعيف، انتشر إلى أكثر من 1000 نظام في يوم واحد. ونتيجة لذلك، أُصيب عشرات من وحدات التحكم بالنطاق (domain controllers) وحوالي 2000 طرفية.
يكتب الباحثون أن هجمات WannaMine تكاد تكون خالية من الملفات. فيتم تحميل نص PowerShell من خادم بعيد، مما يساعد البرمجية الخبيثة على ترسيخ وجودها في النظام. وإضافة إلى ذلك، يتم تحميل ملف ضخم يحتوي على نص مشفر بترميز base64 من خادم الإدارة. وتجدر الإشارة إلى أن حمولة الملف المموّهة كبيرة جدًا إلى حد يكاد يجعل فتحها في محرر نصوص أمرًا مستحيلًا.
ويحتوي هذا الملف أيضًا على شيفرة PowerShell، بما في ذلك نسخة PowerShell من أداة Mimikatz، إضافة إلى كتلة ثنائية ضخمة تُستخدم للعمل مع أداة PingCastle والبحث عن مضيفين ضعفاء آخرين. وتُستخدم بيانات الاعتماد المجمّعة ومعلومات الشبكة للنفاذ إلى الأجهزة المتاحة وإصابتها. ويُمنح ملف DLL الخبيث اسمًا عشوائيًا يختلف من نظام مصاب إلى آخر.
وفي الوقت نفسه، يلاحظ خبراء Cybereason أن WannaMine لا تزال تستخدم الخوادم نفسها التي رُصدت سابقًا في عمليات خبيثة. وقد حاول الخبراء الاتصال بالجهات المالكة لمزودي الاستضافة للعناوين المكتشفة، لكنهم لم يتلقوا أي رد.
