2018 elején számos biztonsági vállalat és független szakértő figyelmeztetett egy olyan bányász botnet megjelenésére, amely fertőzött gépeket használ a Monero kriptovaluta bányászatára. A szakértők szerint a fertőzött gépek száma 500 000 és 1 000 000 között mozgott, a kártevők üzemeltetői pedig nagyjából 8900 Monerót “kerestek” (az akkori árfolyamon körülbelül 2 millió dollárt).
A kártevőt WannaMine-nak nevezték el; a fenyegetésre a CrowdStrike szakemberei hívták fel a figyelmet. A WannaCry-jal vont párhuzam természetesen nem véletlen. A helyzet ugyanis az, hogy a kártevő terjesztéséhez az EternalBlue (CVE-2017-0144) és az EsteemAudit (CVE-2017-0176) exploitokat használják, amelyek a sérülékeny Windows rendszerű számítógépeket célozzák. E két exploit neve nemcsak az információbiztonsági szakemberek, hanem a hétköznapi felhasználók előtt is jól ismert, hiszen 2017 tavaszán éppen az EternalBlue segítségével terjesztették a világszerte hírhedtté vált WannaCry zsarolóvírust.
Emlékeztetőül: 2016 nyarán a The Shadow Brokers nevű hackercsoportnak sikerült ellopnia az NSA szakembereitől a hackereszközöket. A támadók sokáig hiába próbálták eladni a kezükbe került „kiberfegyvert”, árverést szervezni vagy közvetlen vevőt találni azonban nem sikerült nekik. Ezt követően, 2017 áprilisában a csoport az ellopott adatokat ingyenesen, nyilvánosan közzétette.
Az NSA arzenáljának ezeket a azonnal bevethető eszközeit (pontosabban az EternalBlue és a DoublePulsar exploitokat) a WannaCry készítői is felhasználták. Emellett a titkosszolgálati exploitokat átvették a NotPetya készítői, valamint egy másik bányászkártevő, az Adylkuzz alkotói és mások is.
A Microsoft kijavította a fent említett, az NSA-tól ellopott eszközöket kihasználó sérülékenységeket, és javításokat készített az elavult, már nem támogatott operációs rendszerekhez is, például a Windows XP-hez, a Windows 8-hoz és a Windows Server 2003-hoz. Mégis, egy évvel később is sok vállalat és felhasználó nem törődött azzal, hogy telepítse ezeket a javításokat.
A Cybereason elemzői figyelmeztettek, hogy a WannaMine kártevő még mindig aktív, és nagyvállalati hálózatokat fertőz meg. A szakértők elmondták, hogy a minap egy bányászvírus megtámadta az egyik ügyfelüket, egy nagyvállalatot, amelynek világszerte működő fiókjai szerepeltek a Fortune 500 listáján. Miután a kártevő behatolt egy sérülékeny gépre, egyetlen nap alatt több mint 1000 rendszerre terjedt át. Ennek következtében több tucat tartományvezérlő és nagyjából 2000 végpont fertőződött meg.
A kutatók azt írják, hogy a WannaMine támadások szinte fájl nélküliek. A PowerShell-szkriptet egy távoli szerverről töltik be, ami segít a kártevőnek megvetni a lábát a rendszerben. Emellett a vezérlőszerverről egy nagy méretű, base64 szöveget tartalmazó fájlt is letöltenek. Érdemes megjegyezni, hogy az elrejtés (obfuszkáció) miatt a hasznos adat olyan hatalmas, hogy szinte lehetetlen szövegszerkesztőben megnyitni.
Ez a fájl szintén PowerShell-kódot tartalmaz, többek között a Mimikatz eszköz PowerShell-változatát, valamint egy hatalmas bináris blobot, amelyet a PingCastle eszközzel való munkához és más sérülékeny gazdagépek kereséséhez használnak. Az összegyűjtött hitelesítő adatokat és hálózati információkat arra használják, hogy behatoljanak az elérhető gépekre, és megfertőzzék azokat. A kártevő DLL-je véletlenszerű nevet kap, amely minden fertőzött rendszeren más és más.
A Cybereason szakértői ugyanakkor megjegyzik, hogy a WannaMine még mindig ugyanazokat a szervereket használja, amelyeket korábban már láttak kártékony műveletekben. A szakértők megpróbálták felvenni a kapcsolatot az észlelt címek tulajdonos tárhelyszolgáltatóival, de nem kaptak választ.
