Pada awal 2018, banyak perusahaan keamanan dan pakar independen memperingatkan munculnya botnet penambang yang memanfaatkan host yang terinfeksi untuk menambang mata uang kripto Monero. Menurut para pakar, jumlah mesin yang terinfeksi diperkirakan mencapai 500.000 hingga 1.000.000, dan operator malware tersebut “menghasilkan” sekitar 8.900 Monero (sekitar 2 juta dolar AS menurut kurs yang berlaku pada saat itu).
Malware ini diberi nama WannaMine, dan ancamannya diungkap oleh para spesialis dari perusahaan CrowdStrike. Tentu saja, kemiripan nama dengan WannaCry bukanlah kebetulan. Pasalnya, untuk menyebarkan program berbahaya ini, digunakan exploit EternalBlue (CVE-2017-0144) dan EsteemAudit (CVE-2017-0176) yang menyasar komputer Windows yang rentan. Nama kedua exploit ini sudah dikenal luas, bukan hanya oleh para profesional keamanan informasi, tetapi juga oleh pengguna biasa, karena EternalBlue-lah yang digunakan pada musim semi 2017 untuk menyebarkan ransomware WannaCry yang menghebohkan banyak orang.
Sebagai pengingat, pada musim panas 2016, sekelompok peretas yang menamakan diri The Shadow Brokers berhasil mencuri perangkat peretasan milik para spesialis NSA. Cukup lama para peretas itu berusaha menjual “senjata siber” yang mereka miliki, namun gagal menggelar lelang maupun menemukan pembeli langsung. Setelah itu, pada April 2017, kelompok tersebut merilis data curian tersebut secara gratis ke ranah publik.
Perangkat siap pakai dari gudang senjata NSA ini (tepatnya exploit EternalBlue dan DoublePulsar) digunakan oleh para pembuat WannaCry. Selain itu, exploit milik dinas rahasia tersebut juga dipakai oleh pembuat NotPetya, malware penambang lainnya Adylkuzz, dan sebagainya.
Microsoft telah menambal kerentanan tersebut, yang memanfaatkan perangkat curian dari NSA, dan menyiapkan patch untuk sistem operasi lawas yang tidak lagi didukung, termasuk Windows XP, Windows 8, dan Windows Server 2003. Namun, bahkan setahun kemudian, banyak perusahaan dan pengguna yang belum peduli untuk memperbaikinya.
Para analis Cybereason memperingatkan bahwa malware WannaMine masih aktif dan terus menginfeksi jaringan perusahaan besar. Para pakar menyebutkan bahwa belum lama ini, sebuah virus penambang menyerang salah satu klien mereka, sebuah perusahaan besar yang cabang-cabangnya di seluruh dunia tercantum dalam daftar Fortune 500. Setelah menyusup ke sebuah mesin yang rentan, malware tersebut menyebar ke lebih dari 1.000 sistem hanya dalam satu hari. Akibatnya, puluhan domain controller dan sekitar 2.000 terminal terinfeksi.
Para peneliti menulis bahwa serangan WannaMine hampir tanpa berkas (fileless). Skrip PowerShell dimuat dari server jarak jauh, yang membantu malware menancapkan pijakan di dalam sistem. Selain itu, sebuah berkas besar berisi teks base64 dimuat dari server pengendali. Perlu dicatat bahwa muatan (payload) tersebut, akibat obfuscation, berukuran sangat besar sehingga nyaris mustahil dibuka di editor teks.
Berkas ini juga berisi kode PowerShell, termasuk versi PowerShell dari alat Mimikatz, serta blob biner berukuran sangat besar yang digunakan untuk bekerja dengan alat PingCastle dan mencari host rentan lainnya. Kredensial dan informasi jaringan yang berhasil dikumpulkan digunakan untuk menembus mesin-mesin yang tersedia dan menginfeksinya. DLL malware tersebut diberi nama acak yang berbeda untuk setiap sistem yang terinfeksi.
Pada saat yang sama, para pakar Cybereason mencatat bahwa WannaMine masih menggunakan server yang sama dengan yang sebelumnya terlihat dalam operasi berbahaya. Para pakar telah mencoba menghubungi penyedia hosting pemilik alamat-alamat yang terdeteksi tersebut, tetapi tidak menerima jawaban.
