All’inizio del 2018, numerose società di sicurezza ed esperti indipendenti hanno messo in guardia sulla comparsa di una botnet di mining che sfrutta gli host infetti per estrarre la criptovaluta Monero. Secondo gli esperti, il numero di computer compromessi è passato da 500.000 a 1.000.000, e gli operatori del malware hanno “guadagnato” circa 8.900 Monero (circa 2 milioni di dollari al tasso di cambio vigente all’epoca).
Questo malware è stato denominato WannaMine, la cui minaccia è stata segnalata dagli specialisti della società CrowdStrike. Naturalmente, il parallelo con WannaCry non è casuale. Il fatto è che per diffondere i programmi dannosi vengono utilizzati gli exploit EternalBlue (CVE-2017-0144) ed EsteemAudit (CVE-2017-0176), che prendono di mira i computer Windows vulnerabili. I nomi di questi exploit sono noti non solo ai professionisti della sicurezza delle informazioni, ma anche agli utenti comuni, dato che è stato EternalBlue a essere utilizzato nella primavera del 2017 per diffondere il ransomware WannaCry, che ha fatto scalpore.
Permettetemi di ricordare che nell’estate del 2016 un gruppo di hacker che si faceva chiamare The Shadow Brokers è riuscito a sottrarre agli specialisti della NSA gli strumenti di hacking informatici. Per lungo tempo, gli hacker hanno tentato invano di vendere la “cyber-arma” che avevano in mano, ma non sono riusciti a organizzare un’asta né a trovare un acquirente diretto. Dopo di che, nell’aprile 2017, il gruppo ha pubblicato gratuitamente i dati sottratti, rendendoli di pubblico dominio.
Questi strumenti pronti all’uso dell’arsenale della NSA (o meglio, gli exploit EternalBlue e DoublePulsar) sono stati utilizzati dagli autori di WannaCry. Inoltre, gli exploit dei servizi speciali sono stati adottati dagli autori di NotPetya, un altro malware di mining, Adylkuzz, e così via.
Microsoft ha corretto le suddette vulnerabilità, sfruttate con strumenti sottratti alla NSA, e ha preparato patch per sistemi operativi obsoleti e non più supportati, in particolare Windows XP, Windows 8 e Windows Server 2003. Tuttavia, anche un anno dopo, molte aziende e utenti non si preoccupavano di applicarle.
Gli analisti di Cybereason hanno avvertito che i malware WannaMine erano ancora attivi e che infettavano le reti di grandi aziende. Gli esperti hanno infatti dichiarato che l’altro giorno un virus di mining ha attaccato uno dei loro clienti, una grande azienda le cui filiali in tutto il mondo figuravano nella lista Fortune 500. Dopo essersi infiltrato in una macchina vulnerabile, il programma dannoso si è diffuso a più di 1.000 sistemi in un solo giorno. Di conseguenza, decine di controller di dominio e circa 2.000 terminali sono stati infettati.
I ricercatori scrivono che gli attacchi WannaMine sono quasi privi di file. Lo script PowerShell viene infatti caricato da un server remoto, il che aiuta il malware a prendere piede nel sistema. Inoltre, da un server di gestione viene caricato un file voluminoso contenente testo base64. Va notato che il payload offuscato è così enorme che è quasi impossibile aprirlo in un editor di testo.
Questo file contiene anche codice PowerShell, inclusa la versione PowerShell dello strumento Mimikatz, nonché un enorme blob binario, utilizzato per lavorare con lo strumento PingCastle e cercare altri host vulnerabili. Le credenziali raccolte e le informazioni di rete vengono utilizzate per penetrare nelle macchine disponibili e infettarle. Alla DLL dannosa viene assegnato un nome casuale, diverso per ogni sistema infetto.
Nel frattempo, gli esperti di Cybereason notano che WannaMine utilizza ancora gli stessi server già osservati in precedenti operazioni dannose. Gli esperti hanno tentato di contattare i provider proprietari degli indirizzi rilevati, ma non hanno ricevuto risposta.
