I begyndelsen af 2018 advarede mange sikkerhedsvirksomheder og uafhængige eksperter om fremkomsten af et mining-botnet, der brugte inficerede værter til at udvinde kryptovalutaen Monero. Ifølge eksperterne lå antallet af inficerede maskiner mellem 500.000 og 1.000.000, og malware-operatørerne “tjente” omkring 8.900 Monero (cirka 2 millioner dollars til datidens kurs).
Malwaren fik navnet WannaMine, og trusselsanalysen blev udarbejdet af specialisterne fra virksomheden CrowdStrike. Parallellen til WannaCry er naturligvis ikke tilfældig. Sagen er nemlig, at malwaren spredes ved hjælp af exploits som EternalBlue (CVE-2017-0144) og EsteemAudit (CVE-2017-0176), der er rettet mod sårbare Windows-computere. Navnene på disse exploits er velkendte, ikke kun blandt informationssikkerhedsfolk, men også blandt almindelige brugere, for det var netop EternalBlue, der i foråret 2017 blev brugt til at sprede ransomwaren WannaCry, som vakte opsigt over hele verden.
Lad mig minde om, at en hackergruppe, der kalder sig The Shadow Brokers, i sommeren 2016 formåede at stjæle hackerværktøjer fra NSA’s specialister. I lang tid forsøgte hackerne forgæves at sælge det “cybervåben”, de var kommet i besiddelse af, men det lykkedes dem hverken at organisere en auktion eller at finde en direkte køber. Derefter offentliggjorde gruppen i april 2017 de stjålne data gratis, så de blev offentligt tilgængelige.
Disse færdige værktøjer fra NSA’s arsenal (eller rettere exploits som EternalBlue og DoublePulsar) blev brugt af skaberne af WannaCry. Desuden blev efterretningstjenesternes exploits taget i brug af skaberne af NotPetya, en anden mining-malware ved navn Adylkuzz og flere andre.
Microsoft har rettet de nævnte sårbarheder, som udnytter værktøjer stjålet fra NSA, og har udarbejdet opdateringer til forældede og ikke længere understøttede operativsystemer, herunder Windows XP, Windows 8 og Windows Server 2003. Alligevel var mange virksomheder og brugere et år senere stadig ikke begyndt at tage sig af at lappe dem.
Analytikerne hos Cybereason har advaret om, at WannaMine-malwaren stadig er aktiv, og at den inficerer store virksomheders netværk. Eksperterne oplyste, at en mining-virus for nylig angreb en af deres kunder, en stor virksomhed med afdelinger over hele verden, som er på Fortune 500-listen. Efter at have infiltreret en sårbar maskine spredte malwaren sig til mere end 1000 systemer på bare én dag. Som følge heraf blev der inficeret snesevis af domænecontrollere og cirka 2.000 slutpunkter.
Forskerne skriver, at WannaMine-angrebene næsten er filløse. PowerShell-scriptet indlæses således fra en ekstern server, hvilket hjælper malwaren med at få fodfæste i systemet. Desuden indlæses en stor fil med base64-tekst fra kommandoserveren. Det er værd at bemærke, at payloaden på grund af obfuskering er så enorm, at det næsten er umuligt at åbne den i en teksteditor.
Filen indeholder også PowerShell-kode, herunder PowerShell-versionen af værktøjet Mimikatz, samt en enorm binær blob, der bruges til at arbejde med værktøjet PingCastle og til at finde andre sårbare værter. De indsamlede legitimationsoplysninger og netværksoplysninger bruges til at trænge ind i tilgængelige maskiner og inficere dem. Malwarens DLL får et tilfældigt navn, som er forskelligt for hvert inficeret system.
Samtidig bemærker eksperterne fra Cybereason, at WannaMine stadig bruger de samme servere, som tidligere er set i forbindelse med ondsindede operationer. Eksperterne forsøgte at kontakte de hostingudbydere, der ejer de påviste adresser, men fik intet svar.
