בתחילת 2018 הזהירו חברות אבטחה רבות ומומחים עצמאיים מפני הופעתה של רשת בוטנט לכריית מטבעות, המשתמשת במארחים נגועים כדי לכרות את המטבע הקריפטוגרפי Monero. לדברי המומחים, מספר המכוניות שנרכשו קטן מ-1,000,000 ל-500,000, ומפעילי התוכנה הזדונית “הרוויחו” כ-8,900 Monero (כ-2 מיליון דולר לפי שער החליפין באותה עת).
התוכנה הזדונית קיבלה את השם WannaMine, והאיום זוהה על ידי מומחי חברת CrowdStrike. ברור שההקבלה ל-WannaCry אינה מקרית. העובדה היא שלהפצת התוכנות הזדוניות נעשה שימוש בפרצות EternalBlue (CVE-2017-0144) ו-EsteemAudit (CVE-2017-0176), המכוונות למחשבי Windows פגיעים. שמות הפרצות הללו מוכרים היטב לא רק לאנשי מקצוע בתחום אבטחת המידע, אלא גם למשתמשים מן השורה, שכן EternalBlue היה זה ששימש באביב 2017 להפצת תוכנת הכופר WannaCry, שעוררה הדים רבים.
אזכיר שבקיץ 2016 הצליחה קבוצת האקרים שקראה לעצמה The Shadow Brokers לגנוב את כלי הפריצה של מומחי ה-NSA. במשך זמן רב ניסו ההאקרים לשווא למכור את ה”נשק הסייברי” שבידיהם, אך לא הצליחו לארגן מכרז ולא מצאו קונה ישיר. לאחר מכן, באפריל 2017, פרסמה הקבוצה את הנתונים הגנובים בחינם, לשימוש הציבור.
הכלים המוכנים לשימוש הללו מהארסנל של ה-NSA (ליתר דיוק, הפרצות EternalBlue ו-DoublePulsar) שימשו את יוצרי WannaCry. בנוסף, פרצות של שירותי הביטחון אומצו גם על ידי יוצרי NotPetya, תוכנה זדונית נוספת לכריית מטבעות בשם Adylkuzz, ועוד.
מיקרוסופט תיקנה את הפגיעויות הנ”ל, המנצלות כלים שנגנבו מה-NSA, והכינה עדכוני תיקון למערכות הפעלה מיושנות שאינן נתמכות, ובהן Windows XP, Windows 8 ו-Windows Server 2003. עם זאת, גם שנה לאחר מכן, חברות ומשתמשים רבים לא טרחו להתקין אותם.
אנליסטים של Cybereason הזהירו שתוכנת WannaMine הזדונית עדיין פעילה ומדביקה רשתות של תאגידים גדולים. כך, לדברי המומחים, לפני כמה ימים תקף וירוס כרייה אחד מלקוחותיהם, תאגיד גדול שסניפיו ברחבי העולם נכללו ברשימת Fortune 500. לאחר שחדרה למחשב פגיע, התפשטה התוכנה הזדונית ליותר מ-1,000 מערכות ביום אחד. כתוצאה מכך נדבקו עשרות בקרי דומיין וכ-2,000 תחנות קצה.
החוקרים כותבים שהתקפות WannaMine הן כמעט חסרות קבצים. כך, סקריפט PowerShell נטען משרת מרוחק, מה שעוזר לתוכנה הזדונית להשתלט על דריסת רגל במערכת. בנוסף, קובץ גדול המכיל טקסט base64 נטען משרת הניהול. יש לציין שבשל ההסוואה, המטען כה עצום עד שכמעט בלתי אפשרי לפתוח אותו בעורך טקסט.
קובץ זה מכיל גם קוד PowerShell, כולל גרסת PowerShell של הכלי Mimikatz, וכן בלוב בינארי עצום, המשמש לעבודה עם הכלי PingCastle ולחיפוש מארחים פגיעים נוספים. פרטי הזיהוי שנאספו ומידע על הרשת משמשים לחדירה למחשבים זמינים ולהדבקתם. לקובץ ה-DLL הזדוני ניתן שם אקראי, השונה בכל מערכת נגועה.
במקביל, מומחי Cybereason מציינים ש-WannaMine עדיין משתמשת באותם שרתים שנצפו בעבר בפעולות זדוניות. המומחים ניסו ליצור קשר עם חברות האחסון שבבעלותן הכתובות שזוהו, אך לא קיבלו מענה.
