На почетку на 2018 г. редица компании за сигурност и независими експерти предупредиха за появата на минен ботнет, който използва заразени хостове за добив на криптовалутата Monero. Според експертите броят на закупените автомобили е намалял от 500 000 до 1 000 000, а операторите на зловреден софтуер са „спечелили“ около 8 900 Monero (около 2 милиона долара по валутния курс към онзи момент).
Зловредният софтуер е наречен WannaMine, а заплахата е открита от специалистите на компанията CrowdStrike. Разбира се, паралелът с WannaCry не е случаен. Въпросът е, че за разпространението на зловредните програми се използват експлойтите EternalBlue (CVE-2017-0144) и EsteemAudit (CVE-2017-0176), които атакуват уязвими компютри с Windows. Имената на тези експлойти са добре известни не само на професионалистите в областта на информационната сигурност, но и на обикновените потребители, тъй като именно EternalBlue беше използван през пролетта на 2017 г. за разпространението на криптиращия вирус WannaCry, който предизвика широк обществен отзвук.
Нека ви припомня, че през лятото на 2016 г. група хакери, наричащи себе си The Shadow Brokers, успя да открадне хакерски инструменти от специалистите на NSA. Дълго време хакерите безуспешно се опитваха да продадат „кибероръжието“, което притежаваха, но не успяха нито да организират търг, нито да намерят директен купувач. След това през април 2017 г. групата публикува откradените данни безплатно, в публичното пространство.
Тези готови за употреба инструменти от арсенала на NSA (или по-точно експлойтите EternalBlue и DoublePulsar) бяха използвани от създателите на WannaCry. Освен това експлоатации на специалните служби бяха приети от създателите на NotPetya, друг зловреден минен софтуер Adylkuzz и др.
Microsoft отстрани посочените по-горе уязвимости, които използват откраднатите от NSA инструменти, и подготви корекции за остарели и неподдържани операционни системи, включително Windows XP, Windows 8 и Windows Server 2003. Въпреки това дори една година по-късно много компании и потребители не се бяха погрижили да ги поправят.
Aнализаторите на Cybereason предупредиха, че зловредният софтуер WannaMine все още е активен и че заразява мрежите на големи компании. Така експертите заявиха, че преди няколко дни вирус за добив е нападнал един от техните клиенти, голяма компания, чиито клонове по целия свят фигурираха в списъка Fortune 500. След като проникнал в уязвима машина, зловредната програма се разпространила към над 1000 системи за един ден. В резултат на това няколко десетки контролера на домейни и около 2000 крайни устройства бяха заразени.
Изследователите пишат, че атаките на WannaMine са почти безфайлови. Така PowerShell скриптът се зарежда от отдалечен сървър, което помага на зловредния софтуер да се закрепи в системата. Освен това голям файл, съдържащ base64 текст, се зарежда от сървъра за управление. Трябва да се отбележи, че полезният товар, поради обфускацията, е толкова огромен, че е почти невъзможно да се отвори в текстов редактор.
Този файл съдържа също PowerShell код, включително PowerShell версията на инструмента Mimikatz, както и огромен двоичен blob, използван за работа с инструмента PingCastle и търсене на други уязвими хостове. Събраните идентификационни данни и мрежовата информация се използват за проникване в достъпните машини и тяхното заразяване. На зловредната DLL библиотека се присвоява произволно име, различно за всяка заразена система.
В същото време експертите от Cybereason отбелязват, че WannaMine все още използва същите сървъри, които са били наблюдавани преди това при зловредни операции. Експертите се опитаха да се свържат с собствениците на хостинг на откритите адреси, но не получиха отговор.
