tidlig i 2018 advarte mange sikkerhetsselskaper og uavhengige eksperter om fremveksten av et utvinningsbotnett som brukte infiserte verter til å utvinne kryptovalutaen Monero. Ifølge ekspertene var det snakk om mellom 500 000 og 1 000 000 infiserte maskiner, og operatørene bak skadevaren «tjente» rundt 8 900 Monero (omtrent 2 millioner dollar etter datidens vekslingskurs).
Skadevaren fikk navnet WannaMine, og trusselen ble beskrevet av spesialistene i selskapet CrowdStrike. Parallellen til WannaCry er selvsagt ikke tilfeldig. For å spre den skadelige programvaren brukes nemlig exploitene EternalBlue (CVE-2017-0144) og EsteemAudit (CVE-2017-0176), som retter seg mot sårbare Windows-datamaskiner. Navnene på disse exploitene er godt kjent, ikke bare blant informasjonssikkerhetsfolk, men også blant vanlige brukere, siden det var nettopp EternalBlue som ble brukt våren 2017 til å spre løsepengeviruset WannaCry, som vakte stor oppsikt.
La meg minne om at en hackergruppe som kalte seg The Shadow Brokers sommeren 2016 klarte å stjele hackerverktøy fra NSA-spesialister. I lang tid forsøkte hackerne forgjeves å selge «cybervåpenet» de satt på, men de klarte verken å arrangere en auksjon eller å finne en direkte kjøper. Deretter, i april 2017, publiserte gruppen de stjålne dataene gratis, åpent for alle.
Disse ferdige verktøyene fra NSAs arsenal (nærmere bestemt exploitene EternalBlue og DoublePulsar) ble brukt av skaperne av WannaCry. I tillegg ble etterretningstjenestenes exploiter tatt i bruk av skaperne av NotPetya, en annen utvinningsskadevare, Adylkuzz, og flere andre.
Microsoft har rettet de nevnte sårbarhetene, som utnytter verktøy stjålet fra NSA, og laget oppdateringer for utdaterte operativsystemer som ikke lenger støttes, blant annet Windows XP, Windows 8 og Windows Server 2003. Likevel var det selv ett år senere mange selskaper og brukere som ikke brydde seg om å installere dem.
Analytikere ved Cybereason har advart om at skadevaren WannaMine fortsatt er aktiv og infiserer nettverk i store selskaper. Ekspertene opplyste at et utvinningsvirus nylig angrep en av kundene deres, et stort selskap med filialer over hele verden som står på Fortune 500-listen. Etter å ha trengt inn i én sårbar maskin spredte skadevaren seg til over 1000 systemer på bare én dag. Resultatet var at titalls domenekontrollere og omtrent 2000 endepunkter ble infisert.
Forskerne skriver at WannaMine-angrepene er nesten filløse. PowerShell-skriptet lastes inn fra en ekstern server, noe som hjelper skadevaren med å få fotfeste i systemet. I tillegg lastes en stor fil med base64-tekst inn fra kommandoserveren. Det er verdt å merke seg at nyttelasten på grunn av obfuskering er så enorm at den nesten ikke lar seg åpne i et tekstredigeringsprogram.
Denne filen inneholder også PowerShell-kode, blant annet en PowerShell-versjon av verktøyet Mimikatz, samt en enorm binær blob som brukes sammen med verktøyet PingCastle for å finne andre sårbare verter. Innsamlede påloggingsopplysninger og nettverksinformasjon brukes til å trenge inn i tilgjengelige maskiner og infisere dem. Skadevarens DLL-fil får et tilfeldig navn, som er forskjellig for hvert infiserte system.
Samtidig bemerker ekspertene hos Cybereason at WannaMine fortsatt bruker de samme serverne som tidligere har vært observert i ondsinnede operasjoner. Ekspertene forsøkte å kontakte vertene som eier de oppdagede adressene, men fikk ikke svar.
