Na začátku roku 2018 mnoho bezpečnostních firem a nezávislých expertů varovalo před vznikem těžebního botnetu, který využívá infikované hostitele k těžbě kryptoměny Monero. Podle expertů se počet nakoupených automobilů snížil z 500 000 na 1 000 000 a operátoři malwaru si „vydělali“ přibližně 8 900 Monero (přibližně 2 miliony dolarů podle tehdejšího směnného kurzu).
Tento malware dostal název WannaMine a hrozbu odhalili specialisté společnosti CrowdStrike. Paralela s WannaCry samozřejmě není náhodná. Faktem je, že k šíření škodlivých programů byly použity exploity EternalBlue (CVE-2017-0144) a EsteemAudit (CVE-2017-0176) zaměřené na zranitelné počítače s Windows. Názvy těchto exploitů jsou dobře známé nejen odborníkům na bezpečnost informací, ale i běžným uživatelům, protože právě EternalBlue byl na jaře 2017 použit k šíření šifrovacího viru WannaCry, který vzbudil všeobecnou pozornost.
Dovolte mi připomenout, že v létě 2016 se skupina hackerů označující se jako The Shadow Brokers podařilo ukrást hackerské nástroje specialistům NSA. Dlouho se hackeři marně pokoušeli prodat tuto „kybernetickou zbraň“, která se dostala do jejich rukou, ale nepodařilo se jim zorganizovat aukci ani najít přímého kupce. Poté v dubnu 2017 skupina zveřejnila ukradená data zdarma, do veřejné domény.
Tyto hotové nástroje z arzenálu NSA (respektive exploity EternalBlue a DoublePulsar) použili tvůrci WannaCry. Kromě toho exploity zvláštních služeb převzali tvůrci NotPetya, dalšího škodlivého těžebního programu Adylkuzz a další.
Microsoft opravil výše uvedená zranitelnost, která využívají nástroje ukradené NSA, a připravil záplaty pro zastaralé a nepodporované operační systémy, zejména Windows XP, Windows 8 a Windows Server 2003. Ani rok poté se však mnoho firem a uživatelů o jejich instalaci nestaralo.
Analytici společnosti Cybereason varovali, že škodlivý software WannaMine je stále aktivní a že infikuje sítě velkých podniků. Experti uvedli, že onehdy malware pro těžbu napadl jednoho z jejich klientů, velkou společnost, jejíž pobočky po celém světě figurovaly na seznamu Fortune 500. Po proniknutí do zranitelného počítače se škodlivý program během jediného dne rozšířil do více než 1000 systémů. V důsledku toho bylo infikováno několik desítek řadičů domény a přibližně 2 000 koncových zařízení.
Výzkumníci píší, že útoky WannaMine jsou téměř bezsouborové. Skript PowerShell se načítá ze vzdáleného serveru, což malwaru pomáhá zakotvit se v systému. Dále je ze serveru pro správu načten velký soubor obsahující text v base64. Je třeba poznamenat, že objem užitečného zatížení způsobený obfuskací je tak obrovský, že jej téměř není možné otevřít v textovém editoru.
Tento soubor také obsahuje kód PowerShell, včetně verze nástroje Mimikatz pro PowerShell, a dále rozsáhlý binární blob, používaný k práci s nástrojem PingCastle a k vyhledávání dalších zranitelných hostitelů. Shromážděné přihlašovací údaje a síťové informace slouží k pronikání do dostupných počítačů a jejich infikování. Škodlivé DLL dostane náhodný název, který se liší pro každý infikovaný systém.
Zároveň experti společnosti Cybereason upozorňují, že WannaMine stále používá stejné servery, jaké byly dříve zaznamenány u škodlivých operací. Experti se pokusili kontaktovat provozovatele hostingu zjištěných adres, ale neobdrželi žádnou odpověď.
