Στις αρχές του 2018, πολλές εταιρείες ασφάλειας και ανεξάρτητοι ειδικοί προειδοποίησαν για την εμφάνιση ενός botnet εξόρυξης που χρησιμοποιεί μολυσμένους υπολογιστές για την εξόρυξη του κρυπτονομίσματος Monero. Σύμφωνα με τους ειδικούς, ο αριθμός των αγορασμένων αυτοκινήτων μειώθηκε από 500.000 σε 1.000.000, και οι χειριστές του κακόβουλου λογισμικού «κέρδισαν» περίπου 8.900 Monero (περίπου 2 εκατομμύρια δολάρια με την ισοτιμία συναλλάγματος που ίσχυε εκείνη την εποχή).
Το κακόβουλο λογισμικό ονομάστηκε WannaMine, και την απειλή ανακοίνωσαν οι ειδικοί της εταιρείας CrowdStrike. Φυσικά, η αντιστοιχία με το WannaCry δεν είναι τυχαία. Το γεγονός είναι ότι για τη διάδοση των κακόβουλων προγραμμάτων χρησιμοποιήθηκαν τα exploits EternalBlue (CVE-2017-0144) και EsteemAudit (CVE-2017-0176), που στοχεύουν ευάλωτους υπολογιστές με Windows. Τα ονόματα αυτών των exploits είναι γνωστά όχι μόνο στους επαγγελματίες της ασφάλειας πληροφοριών, αλλά ακόμη και στους απλούς χρήστες, καθώς ήταν το EternalBlue που χρησιμοποιήθηκε την άνοιξη του 2017 για τη διάδοση του κρυπτογραφικού ransomware WannaCry, το οποίο προκάλεσε ευρεία αναστάτωση.
Θα ήθελα να σας υπενθυμίσω ότι το καλοκαίρι του 2016, μια ομάδα χάκερ που αυτοαποκαλούνταν The Shadow Brokers κατάφερε να κλέψει εργαλεία χακαρίσματος από ειδικούς της NSA. Για πολύ καιρό, οι χάκερς προσπάθησαν μάταια να πουλήσουν το «κυβερνοόπλο» που είχαν στα χέρια τους, όμως δεν κατάφεραν να οργανώσουν δημοπρασία ούτε να βρουν άμεσο αγοραστή. Μετά από αυτό, τον Απρίλιο του 2017, η ομάδα δημοσίευσε δωρεάν τα κλεμμένα δεδομένα, στο δημόσιο domain.
Αυτά τα έτοιμα προς χρήση εργαλεία από το οπλοστάσιο της NSA (ή μάλλον τα exploits EternalBlue και DoublePulsar) χρησιμοποιήθηκαν από τους δημιουργούς του WannaCry. Επιπλέον, εκμεταλλεύσεις των ειδικών υπηρεσιών υιοθετήθηκαν από τους δημιουργούς του NotPetya, ενός άλλου κακόβουλου προγράμματος, καθώς και του εξορυκτικού Adylkuzz, κ.λπ.
Η Microsoft διόρθωσε τις προαναφερθείσες ευπάθειες, που εκμεταλλεύονται εργαλεία κλεμμένα από τη NSA, και ετοίμασε ενημερώσεις ασφαλείας για ξεπερασμένα και μη υποστηριζόμενα λειτουργικά συστήματα, όπως τα Windows XP, Windows 8 και Windows Server 2003. Ωστόσο, ακόμη και ένα χρόνο αργότερα, πολλές εταιρείες και χρήστες δεν νοιάζονταν να τις εγκαταστήσουν.
Οι αναλυτές της Cybereason προειδοποίησαν ότι το κακόβουλο λογισμικό WannaMine εξακολουθούσε να είναι ενεργό και ότι μολύνει δίκτυα μεγάλων εταιρειών. Έτσι, οι ειδικοί δήλωσαν ότι τις προάλλες ένα εξορυκτικό ιό επιτέθηκε σε έναν από τους πελάτες τους, μια μεγάλη εταιρεία των οποίων τα υποκαταστήματα σε όλο τον κόσμο περιλαμβάνονταν στη λίστα Fortune 500. Αφού διείσδυσε σε έναν ευάλωτο υπολογιστή, το κακόβουλο πρόγραμμα εξαπλώθηκε σε περισσότερα από 1000 συστήματα σε μία μόνο ημέρα. Ως αποτέλεσμα, δεκάδες ελεγκτές τομέα και περίπου 2.000 τερματικοί σταθμοί μολύνθηκαν.
Οι ερευνητές γράφουν ότι οι επιθέσεις WannaMine είναι σχεδόν χωρίς αρχεία. Έτσι, το σενάριο PowerShell φορτώνεται από έναν απομακρυσμένο διακομιστή, κάτι που βοηθά το κακόβουλο λογισμικό να εδραιωθεί στο σύστημα. Επιπλέον, ένα μεγάλο αρχείο που περιέχει κείμενο base64 φορτώνεται από τον διακομιστή διαχείρισης. Αξίζει να σημειωθεί ότι το φορτίο λόγω της απόκρυψης είναι τόσο τεράστιο που είναι σχεδόν αδύνατο να ανοιχτεί σε επεξεργαστή κειμένου.
Το αρχείο αυτό περιέχει επίσης κώδικα PowerShell, συμπεριλαμβανομένης της έκδοσης PowerShell του εργαλείου Mimikatz, καθώς και ένα τεράστιο δυαδικό blob, που χρησιμοποιείται για την εργασία με το εργαλείο PingCastle και για την αναζήτηση άλλων ευάλωτων υπολογιστών. Τα συλλεγμένα διαπιστευτήρια και οι πληροφορίες δικτύου χρησιμοποιούνται για να διεισδύσουν στα διαθέσιμα μηχανήματα και να τα μολύνουν. Η κακόβουλη DLL λαμβάνει ένα τυχαίο όνομα, διαφορετικό για κάθε μολυσμένο σύστημα.
Ταυτόχρονα, οι ειδικοί της Cybereason σημειώνουν ότι το WannaMine εξακολουθεί να χρησιμοποιεί τους ίδιους διακομιστές με εκείνους που είχαν παρατηρηθεί νωρίτερα σε κακόβουλες επιχειρήσεις. Οι ειδικοί προσπάθησαν να επικοινωνήσουν με τους φορείς φιλοξενίας των εντοπισμένων διευθύνσεων, αλλά δεν έλαβαν απάντηση.
