Begin 2018 waarschuwden tal van beveiligingsbedrijven en onafhankelijke experts voor de opkomst van een mining-botnet dat geïnfecteerde hosts gebruikt om de cryptomunt Monero te delven. Volgens de experts werd het aantal gekochte auto’s teruggebracht van 500.000 naar 1.000.000, en hebben de operators van de malware ongeveer 8.900 Monero “verdiend” (zo’n 2 miljoen dollar tegen de toen geldende wisselkoers).
Deze malware kreeg de naam WannaMine; de dreiging werd beschreven door specialisten van het bedrijf CrowdStrike. De parallel met WannaCry is uiteraard geen toeval. Om de schadelijke programma’s te verspreiden worden namelijk de exploits EternalBlue (CVE-2017-0144) en EsteemAudit (CVE-2017-0176) gebruikt, die zich richten op kwetsbare Windows-computers. De namen van deze exploits zijn niet alleen bij informatiebeveiligingsprofessionals bekend, maar zelfs bij gewone gebruikers, want het was EternalBlue die in het voorjaar van 2017 werd gebruikt om de ransomware WannaCry te verspreiden, die veel opschudding veroorzaakte.
Ik herinner u eraan dat in de zomer van 2016 een groep hackers die zichzelf The Shadow Brokers noemde, erin slaagde hackertools van NSA-specialisten te stelen. Lange tijd probeerden de hackers tevergeefs het “cyberwapen” dat zij in handen hadden te verkopen, maar het lukte hun niet een veiling te organiseren of een directe koper te vinden. Daarna publiceerde de groep in april 2017 de gestolen gegevens gratis, voor iedereen toegankelijk.
Deze kant-en-klare tools uit het NSA-arsenaal (of liever gezegd de exploits EternalBlue en DoublePulsar) werden gebruikt door de makers van WannaCry. Bovendien werden de exploits van de geheime diensten overgenomen door de makers van NotPetya, een andere mining-malware, Adylkuzz, enzovoort.
Microsoft heeft de bovengenoemde kwetsbaarheden, die gebruikmaken van tools die van de NSA zijn gestolen, verholpen en patches voorbereid voor verouderde en niet meer ondersteunde besturingssystemen, waaronder Windows XP, Windows 8 en Windows Server 2003. Toch hadden veel bedrijven en gebruikers zelfs een jaar later nog niet de moeite genomen om die te installeren.
Analisten van Cybereason waarschuwden dat de WannaMine-malware nog steeds actief is en netwerken van grote bedrijven infecteert. Zo meldden experts dat onlangs een mining-virus een van hun klanten had aangevallen, een groot bedrijf waarvan de vestigingen over de hele wereld op de Fortune 500-lijst stonden. Nadat de malware een kwetsbare machine was binnengedrongen, verspreidde hij zich binnen één dag naar meer dan 1000 systemen. Als gevolg daarvan werden tientallen domeincontrollers en ongeveer 2000 eindpunten geïnfecteerd.
De onderzoekers schrijven dat de WannaMine-aanvallen vrijwel bestandsloos zijn. Zo wordt het PowerShell-script vanaf een externe server geladen, waardoor de malware voet aan de grond krijgt in het systeem. Daarnaast wordt vanaf de beheerserver een omvangrijk bestand met base64-tekst geladen. Opmerkelijk is dat de payload door de obfuscatie zo enorm is dat het bijna onmogelijk is om hem in een teksteditor te openen.
Dit bestand bevat ook PowerShell-code, waaronder de PowerShell-versie van de tool Mimikatz, evenals een enorme binaire blob, die wordt gebruikt om met de tool PingCastle te werken en andere kwetsbare hosts op te sporen. De verzamelde inloggegevens en netwerkinformatie worden gebruikt om beschikbare machines binnen te dringen en te infecteren. De malware-DLL krijgt een willekeurige naam, die verschilt per geïnfecteerd systeem.
Tegelijkertijd merken de experts van Cybereason op dat WannaMine nog steeds dezelfde servers gebruikt als die eerder bij kwaadaardige operaties zijn waargenomen. De experts probeerden contact op te nemen met de hostingproviders die eigenaar zijn van de gedetecteerde adressen, maar ontvingen geen antwoord.
