Vuoden 2018 alussa useat tietoturvayritykset ja riippumattomat asiantuntijat varoittivat louhintaan käytettävän botnetin synnystä, joka hyödynsi tartutettuja koneita Monero-kryptovaluutan louhimiseen. Asiantuntijoiden mukaan tartutettujen koneiden määrä oli 500 000–1 000 000, ja haittaohjelman operaattorit “ansaitsivat” noin 8 900 Moneroa (tuolloin voimassa olleella kurssilla noin 2 miljoonaa dollaria).
Haittaohjelma sai nimekseen WannaMine, ja uhasta kertoivat CrowdStrike-yrityksen asiantuntijat. Yhteys WannaCryhin ei tietenkään ole sattumaa. Haittaohjelman levittämiseen käytetään EternalBlue- (CVE-2017-0144) ja EsteemAudit-haavoittuvuuksia (CVE-2017-0176) hyödyntäviä exploiteja, jotka kohdistuvat haavoittuviin Windows-tietokoneisiin. Näiden exploitien nimet tuntevat hyvin paitsi tietoturva-alan ammattilaiset myös tavalliset käyttäjät, sillä juuri EternalBlue oli käytössä keväällä 2017, kun levitettiin laajaa huomiota herättänyttä WannaCry-kiristysohjelmaa.
Muistutan, että kesällä 2016 The Shadow Brokers -nimellä esiintynyt hakkeriryhmä onnistui varastamaan NSA:n asiantuntijoilta hakkerointityökaluja. Hakkerit yrittivät pitkään turhaan myydä käsiinsä saamaansa “kyberasetta”, mutta eivät onnistuneet järjestämään huutokauppaa tai löytämään suoraa ostajaa. Sen jälkeen ryhmä julkaisi huhtikuussa 2017 varastetut tiedot ilmaiseksi julkisesti.
Näitä NSA:n arsenaalin valmiita työkaluja (tarkemmin sanottuna EternalBlue- ja DoublePulsar-exploiteja) käyttivät WannaCryn tekijät. Lisäksi tiedustelupalvelun exploitit otettiin käyttöön myös NotPetyassa, toisessa louhintaan tarkoitetussa haittaohjelmassa Adylkuzzissa ja muissa.
Microsoft korjasi edellä mainitut haavoittuvuudet, jotka hyödyntävät NSA:lta varastettuja työkaluja, ja julkaisi korjauspäivitykset myös vanhentuneille ja tuen ulkopuolisille käyttöjärjestelmille, kuten Windows XP:lle, Windows 8:lle ja Windows Server 2003:lle. Silti vielä vuotta myöhemmin monet yritykset ja käyttäjät eivät olleet vaivautuneet korjaamaan niitä.
Cybereasonin analyytikot varoittivat, että WannaMine-haittaohjelma on yhä aktiivinen ja tartuttaa suuryritysten verkkoja. Asiantuntijoiden mukaan louhintavirus iski vastikään yhteen heidän asiakkaistaan, suuryritykseen, jonka toimipisteet eri puolilla maailmaa kuuluivat Fortune 500 -listalle. Päästyään haavoittuvaan koneeseen haittaohjelma levisi yhdessä päivässä yli 1 000 järjestelmään. Seurauksena kymmeniä toimialueen ohjauskoneita ja noin 2 000 päätelaitetta tartutettiin.
Tutkijoiden mukaan WannaMine-hyökkäykset ovat lähes tiedostottomia. PowerShell-skripti ladataan etäpalvelimelta, minkä avulla haittaohjelma saa jalansijan järjestelmässä. Lisäksi hallintapalvelimelta ladataan suuri tiedosto, joka sisältää base64-tekstiä. On syytä huomata, että hämärryksen vuoksi hyötykuorma on niin valtava, että sen avaaminen tekstieditorissa on lähes mahdotonta.
Tämä tiedosto sisältää myös PowerShell-koodia, muun muassa Mimikatz-työkalun PowerShell-version, sekä valtavan binäärilohkon, jota käytetään PingCastle-työkalun kanssa muiden haavoittuvien koneiden etsimiseen. Kerättyjä tunnistetietoja ja verkkotietoja käytetään tunkeutumiseen saatavilla oleviin koneisiin ja niiden tartuttamiseen. Haittaohjelman DLL-tiedostolle annetaan satunnainen nimi, joka on erilainen jokaisessa tartunnan saaneessa järjestelmässä.
Samalla Cybereasonin asiantuntijat huomauttavat, että WannaMine käyttää edelleen samoja palvelimia, jotka on nähty aiemmissa haittaohjelmaoperaatioissa. Asiantuntijat yrittivät ottaa yhteyttä havaittujen osoitteiden omistajina oleviin palveluntarjoajiin, mutta vastausta ei kuulunut.
