Na początku 2018 roku wiele firm zajmujących się bezpieczeństwem oraz niezależnych ekspertów ostrzegało przed pojawieniem się botnetu wydobywczego, który wykorzystuje zainfekowane hosty do kopania kryptowaluty Monero. Według ekspertów liczba zakupionych samochodów została zmniejszona z 500 000 do 1 000 000, a operatorzy malware „zarobili” około 8 900 Monero (około 2 milionów dolarów według kursu obowiązującego w tamtym czasie).
To złośliwe oprogramowanie nazwano WannaMine, a zagrożenie opisali specjaliści z firmy CrowdStrike. Oczywiście nawiązanie do WannaCry nie jest przypadkowe. Do rozprzestrzeniania szkodliwych programów wykorzystano bowiem exploity EternalBlue (CVE-2017-0144) i EsteemAudit (CVE-2017-0176), wymierzone w podatne komputery z systemem Windows. Nazwy tych exploitów są dobrze znane nie tylko specjalistom od bezpieczeństwa informacji, ale nawet zwykłym użytkownikom, ponieważ to właśnie EternalBlue posłużył wiosną 2017 roku do rozpowszechnienia szyfrującego ransomware WannaCry, który wywołał ogólne poruszenie.
Przypomnę, że latem 2016 roku grupa hakerów nazywająca się The Shadow Brokers zdołała wykraść narzędzia hakerskie specjalistom z NSA. Przez długi czas hakerzy bezskutecznie próbowali sprzedać „cyberbroń”, która wpadła w ich ręce, ale nie udało im się ani zorganizować aukcji, ani znaleźć bezpośredniego nabywcy. Po tym w kwietniu 2017 roku grupa opublikowała skradzione dane za darmo, w domenie publicznej.
Te gotowe do użycia narzędzia z arsenału NSA (a konkretnie exploity EternalBlue i DoublePulsar) zostały wykorzystane przez twórców WannaCry. Ponadto exploity służb specjalnych przejęli twórcy NotPetya, kolejnego szkodliwego programu wydobywczego Adylkuzz i innych.
Microsoft załatał wspomniane luki, wykorzystujące narzędzia skradzione z NSA, i przygotował poprawki dla przestarzałych, niewspieranych systemów operacyjnych, w tym Windows XP, Windows 8 i Windows Server 2003. Jednak nawet rok później wiele firm i użytkowników nie zadało sobie trudu, aby je zainstalować.
Analitycy z Cybereason ostrzegli, że złośliwe oprogramowanie WannaMine wciąż jest aktywne i infekuje sieci dużych przedsiębiorstw. Eksperci poinformowali, że niedawno wirus wydobywczy zaatakował jednego z ich klientów, dużą firmę, której oddziały na całym świecie znalazły się na liście Fortune 500. Po przeniknięciu do podatnej maszyny szkodliwy program rozprzestrzenił się na ponad 1000 systemów w ciągu jednego dnia. W rezultacie zainfekowano kilkadziesiąt kontrolerów domeny i około 2000 stacji końcowych.
Badacze piszą, że ataki WannaMine są niemal bezplikowe. Skrypt PowerShell jest ładowany ze zdalnego serwera, co pomaga szkodliwemu oprogramowaniu zakorzenić się w systemie. Ponadto z serwera zarządzającego pobierany jest duży plik zawierający tekst w formacie base64. Warto zauważyć, że ze względu na obfuskację ładunek jest tak ogromny, że niemal niemożliwe jest otwarcie go w edytorze tekstu.
Plik ten zawiera również kod PowerShell, w tym wersję PowerShell narzędzia Mimikatz, a także ogromny blob binarny, używany do pracy z narzędziem PingCastle i wyszukiwania innych podatnych hostów. Zebrane dane uwierzytelniające i informacje o sieci są wykorzystywane do przenikania do dostępnych maszyn i ich infekowania. Biblioteka DLL szkodliwego oprogramowania otrzymuje losową nazwę, inną dla każdego zainfekowanego systemu.
Jednocześnie eksperci z Cybereason zauważają, że WannaMine nadal korzysta z tych samych serwerów, które wcześniej pojawiały się w szkodliwych operacjach. Eksperci próbowali skontaktować się z firmami hostingowymi, do których należą wykryte adresy, jednak nie otrzymali odpowiedzi.
