2018년 초, 여러 보안 기업과 독립 전문가들은 감염된 호스트를 이용해 암호화폐 모네로(Monero)를 채굴하는 채굴형 봇넷의 출현에 대해 경고했다. 전문가들에 따르면 구매된 컴퓨터의 수는 500,000대에서 1,000,000대로 줄어들었으며, 악성코드 운영자들은 당시 환율로 약 2백만 달러에 해당하는 약 8,900 XMR을 “벌어들였다”.
이 악성코드는 CrowdStrike 사의 전문가들이 위협을 공개하면서 WannaMine이라는 이름을 얻었다. 물론 WannaCry와의 유사성은 우연이 아니다. 악성 프로그램을 확산시키기 위해 취약한 Windows 컴퓨터를 노리는 EternalBlue(CVE-2017-0144)와 EsteemAudit(CVE-2017-0176) 익스플로잇이 사용되었기 때문이다. 이 익스플로잇의 이름은 정보 보안 전문가뿐만 아니라 일반 사용자에게도 잘 알려져 있는데, 2017년 봄에 WannaCry 랜섬웨어를 퍼뜨리는 데 EternalBlue가 사용되어 큰 논란을 일으켰기 때문이다.
2016년 여름, The Shadow Brokers라고 자칭한 해커 집단이 NSA 전문가들의 해킹 도구를 탈취하는 데 성공했다는 점을 다시 한번 상기하고자 한다. 한동안 해커들은 손에 넣은 이 “사이버 무기”를 팔아넘기려 했지만, 경매를 조직하거나 직접 구매자를 찾는 데는 실패했다. 이후 2017년 4월, 이 집단은 탈취한 데이터를 공개 영역에 무료로 공개했다.
NSA 무기고의 이 즉시 사용 가능한 도구들(정확히는 EternalBlue와 DoublePulsar 익스플로잇)은 WannaCry의 제작자들에 의해 사용되었다. 또한 특수 기관의 익스플로잇은 NotPetya의 제작자들, 그리고 또 다른 채굴형 악성코드인 Adylkuzz 등에도 채택되었다.
Microsoft는 NSA에서 탈취한 도구를 이용하는 앞서 언급한 취약점을 패치했고, Windows XP, Windows 8, Windows Server 2003을 비롯한 지원이 종료된 구형 운영체제에도 보안 업데이트를 제공했다. 그러나 1년이 지난 후에도 많은 기업과 사용자들은 이를 적용하는 데 관심을 두지 않았다.
Cybereason의 분석가들은 WannaMine 악성코드가 여전히 활동 중이며 대기업의 네트워크를 감염시키고 있다고 경고했다. 전문가들에 따르면, 얼마 전 채굴형 바이러스가 그들의 고객 중 한 곳, 즉 전 세계 지사가 Fortune 500 목록에 오른 대기업을 공격했다. 취약한 기계에 침투한 후 이 악성 프로그램은 하루 만에 1,000개가 넘는 시스템으로 확산되었다. 그 결과 수십 대의 도메인 컨트롤러와 약 2,000대의 단말기가 감염되었다.
연구원들은 WannaMine 공격이 거의 파일을 남기지 않는다고 기술한다. 즉, PowerShell 스크립트를 원격 서버에서 불러와 악성코드가 시스템에 자리 잡도록 돕는다. 또한 관리 서버에서 base64 텍스트가 담긴 거대한 파일이 로드된다. 주목할 점은 난독화된 페이로드가 너무 방대해서 텍스트 편집기로 여는 것조차 거의 불가능하다는 것이다.
이 파일에는 Mimikatz 도구의 PowerShell 버전을 포함한 PowerShell 코드와, PingCastle 도구를 사용해 다른 취약한 호스트를 탐색하는 데 쓰이는 거대한 바이너리 블롭도 들어 있다. 수집된 자격 증명과 네트워크 정보는 사용 가능한 기계에 침투하여 감염시키는 데 사용된다. 악성 DLL에는 감염된 시스템마다 다른 임의의 이름이 부여된다.
한편, Cybereason의 전문가들은 WannaMine이 이전에 악성 작업에서 확인되었던 것과 동일한 서버를 여전히 사용하고 있다고 지적한다. 전문가들은 탐지된 주소의 소유 호스팅 업체에 연락을 시도했지만 응답을 받지 못했다.
