Anfang 2018 warnten zahlreiche Sicherheitsunternehmen und unabhängige Experten vor dem Aufkommen eines Mining-Botnets, das infizierte Rechner nutzt, um die Kryptowährung Monero zu schürfen. Laut Experten wurde die Zahl der gekauften Autos von 500.000 auf 1.000.000 reduziert, und die Betreiber der Schadsoftware haben etwa 8.900 Monero (rund 2 Millionen Dollar zum damals geltenden Wechselkurs) „verdient“.
Die Schadsoftware trägt den Namen WannaMine; auf die Bedrohung machten die Spezialisten des Unternehmens CrowdStrike aufmerksam. Die Parallele zu WannaCry ist natürlich kein Zufall. Tatsache ist, dass zur Verbreitung der Schadprogramme die Exploits EternalBlue (CVE-2017-0144) und EsteemAudit (CVE-2017-0176) eingesetzt wurden, die sich gegen verwundbare Windows-Rechner richten. Die Namen dieser Exploits sind nicht nur Fachleuten der Informationssicherheit gut bekannt, sondern auch gewöhnlichen Nutzern, denn es war EternalBlue, das im Frühjahr 2017 zur Verbreitung der Verschlüsselungssoftware WannaCry genutzt wurde, die allgemeine Aufmerksamkeit erregte.
Erinnern wir uns: Im Sommer 2016 gelang es einer Hackergruppe, die sich The Shadow Brokers nannte, Hacking-Werkzeuge von Spezialisten der NSA zu stehlen. Lange Zeit versuchten die Hacker vergeblich, die in ihren Händen befindliche „Cyberwaffe“ zu verkaufen, doch es gelang ihnen weder, eine Auktion zu organisieren, noch einen direkten Käufer zu finden. Daraufhin veröffentlichte die Gruppe im April 2017 die gestohlenen Daten kostenlos und frei zugänglich.
Diese einsatzbereiten Werkzeuge aus dem Arsenal der NSA (genauer gesagt die Exploits EternalBlue und DoublePulsar) wurden von den Urhebern von WannaCry verwendet. Darüber hinaus übernahmen die Macher von NotPetya, einer weiteren Schadsoftware, sowie des Mining-Programms Adylkuzz etc. Exploits der Geheimdienste.
Microsoft hat die oben genannten Schwachstellen, die gestohlene NSA-Werkzeuge ausnutzen, geschlossen und Patches für veraltete und nicht mehr unterstützte Betriebssysteme bereitgestellt, darunter Windows XP, Windows 8 und Windows Server 2003. Doch selbst ein Jahr später kümmerten sich zahlreiche Unternehmen und Nutzer nicht darum, diese Lücken zu schließen.
Die Analysten von Cybereason warnten, dass die Schadsoftware WannaMine nach wie vor aktiv sei und die Netzwerke großer Unternehmen infiziere. So berichteten Experten, dass vor kurzem ein Mining-Virus einen ihrer Kunden angegriffen habe, ein großes Unternehmen, dessen Niederlassungen weltweit auf der Liste der Fortune 500 standen. Nachdem sich das Schadprogramm auf einem verwundbaren Rechner eingenistet hatte, verbreitete es sich innerhalb eines einzigen Tages auf mehr als 1.000 Systeme. Infolgedessen wurden Dutzende Domänencontroller und etwa 2.000 Endgeräte infiziert.
Die Forscher schreiben, dass die Angriffe von WannaMine nahezu dateilos erfolgen. So wird das PowerShell-Skript von einem entfernten Server geladen, was der Schadsoftware hilft, im System Fuß zu fassen. Zusätzlich wird eine große Datei mit Base64-Text vom Verwaltungsserver geladen. Bemerkenswert ist, dass die durch die Verschleierung entstehende Nutzlast so umfangreich ist, dass es nahezu unmöglich ist, sie in einem Texteditor zu öffnen.
Diese Datei enthält außerdem PowerShell-Code, darunter die PowerShell-Version des Werkzeugs Mimikatz, sowie einen riesigen Binär-Blob, der zur Arbeit mit dem Werkzeug PingCastle dient und nach weiteren verwundbaren Hosts sucht. Die gesammelten Anmeldeinformationen und Netzwerkinformationen werden genutzt, um in verfügbare Rechner einzudringen und diese zu infizieren. Die schädliche DLL erhält einen zufälligen Namen, der auf jedem infizierten System unterschiedlich ist.
Gleichzeitig stellen die Experten von Cybereason fest, dass WannaMine weiterhin dieselben Server verwendet, die bereits zuvor bei schädlichen Aktivitäten beobachtet wurden. Die Experten versuchten, die Hosting-Anbieter der erkannten Adressen zu kontaktieren, erhielten jedoch keine Antwort.
