2018年の初頭、多くのセキュリティ企業と独立系の専門家が、感染したホストを利用して暗号通貨Moneroを採掘するマイニング型ボットネットの出現について警鐘を鳴らしました。専門家によると、購入された自動車の台数は50万台から100万台に減少したとされ、マルウェアの運営者は約8,900XMR（当時の為替レートで約200万ドル）を「稼いだ」とされています。
このマルウェアはWannaMineと名付けられ、その脅威はCrowdStrike社の専門家によって明らかにされました。WannaCryとの類似性は偶然ではありません。マルウェアを拡散するために、脆弱なWindowsコンピュータを標的とするEternalBlue（CVE-2017-0144）およびEsteemAudit（CVE-2017-0176）のエクスプロイトが使われたのです。これらのエクスプロイト名は情報セキュリティの専門家だけでなく、一般のユーザーにもよく知られています。2017年の春に、物議を醸した暗号化ランサムウェアWannaCryの拡散に使われたのがEternalBlueだったからです。
思い出していただきたいのですが、2016年の夏、The Shadow Brokersと名乗るハッカー集団が、NSAの専門家が使用していたハッキングツールを盗み出すことに成功しました。長期間にわたり、ハッカーたちは手中にあった「サイバー兵器」を売却しようと試みましたが、オークションを開催することも、直接の買い手を見つけることもできませんでした。その後、2017年4月に、このグループは盗んだデータを無償で公開し、パブリックドメインに放出しました。
NSAの武器庫にあったこれらの既製ツール（正確にはEternalBlueとDoublePulsarのエクスプロイト）は、WannaCryの作成者によって利用されました。さらに、特殊機関のエクスプロイトはNotPetyaの作成者にも採用され、また別のマイニング型マルウェアであるAdylkuzzなどにも使われています。
Microsoftは、NSAから盗まれたツールを利用する前述の脆弱性を修正し、Windows XP、Windows 8、Windows Server 2003を含む、旧式でサポートが終了したオペレーティングシステム向けのパッチも用意しました。しかし、それから1年が過ぎても、多くの企業やユーザーは修正に努めていませんでした。
Cybereasonのアナリストは、WannaMineのマルウェアが依然として活動しており、大企業のネットワークに感染していると警告しました。専門家によると、先日、あるマイニング型ウイルスが同社の顧客の一社を攻撃したとのことです。そこはFortune 500に名を連ねる大企業で、世界中に支社を持っていました。脆弱なマシンに侵入したマルウェアは、わずか1日で1,000台を超えるシステムに拡散しました。その結果、数十のドメインコントローラーと約2,000台の端末が感染しました。
研究者らによると、WannaMineの攻撃はほぼファイルレスだということです。リモートサーバーからPowerShellスクリプトが読み込まれ、それによってマルウェアはシステム内に足場を築きます。さらに、管理サーバーからBase64テキストを含む大容量のファイルが読み込まれます。注目すべきは、難読化されたペイロードが非常に巨大なため、テキストエディタで開くことはほぼ不可能だという点です。
このファイルには、Mimikatzツールの PowerShell版を含むPowerShellコードも含まれており、さらにPingCastleツールを使って他の脆弱なホストを探すための巨大なバイナリブロブも入っています。収集された認証情報とネットワーク情報は、利用可能なマシンに侵入して感染させるために使われます。マルウェアのDLLには、感染した各システムごとに異なるランダムな名前が割り当てられます。
なお、Cybereasonの専門家は、WannaMineが以前の悪意ある作戦で確認されたものと同じサーバーを今も使用していることを指摘しています。専門家は検出されたアドレスの所有者であるホスティング業者に連絡を試みましたが、返答は得られませんでした。
