No início de 2018, várias empresas de segurança e peritos independentes alertaram para o surgimento de uma botnet de mineração que utiliza anfitriões infetados para extrair a criptomoeda Monero. Segundo os especialistas, o número de máquinas infetadas terá sido de 500 000 a 1 000 000, e os operadores do malware «ganharam» cerca de 8 900 Monero (aproximadamente 2 milhões de dólares à taxa de câmbio em vigor na altura).
Este malware recebeu o nome de WannaMine, e a ameaça foi identificada pelos especialistas da empresa CrowdStrike. Naturalmente, o paralelo com o WannaCry não é acidental. O facto é que, para propagar o programa malicioso, são utilizados os exploits EternalBlue (CVE-2017-0144) e EsteemAudit (CVE-2017-0176), que visam computadores Windows vulneráveis. Os nomes destes exploits são bem conhecidos não só dos profissionais de segurança da informação, mas até dos utilizadores comuns, uma vez que foi precisamente o EternalBlue que foi utilizado na primavera de 2017 para disseminar o ransomware WannaCry, que fez grande alarido.
Recordo que, no verão de 2016, um grupo de hackers que se autodenominava The Shadow Brokers conseguiu roubar ferramentas de pirataria informática aos especialistas da NSA. Durante muito tempo, os hackers tentaram em vão vender a «ciberarma» que tinham em mãos, mas não conseguiram organizar um leilão nem encontrar um comprador direto. Depois disso, em abril de 2017, o grupo publicou os dados roubados gratuitamente, em domínio público.
Estas ferramentas prontas a usar do arsenal da NSA (mais precisamente, os exploits EternalBlue e DoublePulsar) foram utilizadas pelos criadores do WannaCry. Além disso, os exploits dos serviços secretos foram adotados pelos criadores do NotPetya, de outro malware de mineração, o Adylkuzz, entre outros.
A Microsoft corrigiu as vulnerabilidades acima mencionadas, que recorrem a ferramentas roubadas à NSA, e preparou atualizações para sistemas operativos obsoletos e já sem suporte, nomeadamente o Windows XP, o Windows 8 e o Windows Server 2003. No entanto, mesmo um ano depois, muitas empresas e utilizadores não se preocuparam em aplicá-las.
Os analistas da Cybereason alertaram que o malware WannaMine continua ativo e a infetar as redes de grandes empresas. Assim, os peritos afirmaram que, no outro dia, um vírus de mineração atacou um dos seus clientes, uma grande empresa cujas filiais em todo o mundo constavam da lista Fortune 500. Depois de se infiltrar numa máquina vulnerável, o programa malicioso propagou-se a mais de 1000 sistemas num único dia. Em consequência, dezenas de controladores de domínio e cerca de 2000 terminais foram infetados.
Os investigadores escrevem que os ataques do WannaMine são quase «sem ficheiros». Assim, o script PowerShell é carregado a partir de um servidor remoto, o que ajuda o malware a fixar-se no sistema. Além disso, um ficheiro volumoso com texto em base64 é carregado a partir do servidor de comando e controlo. De notar que, devido à ofuscação, a carga útil é tão enorme que é quase impossível abri-la num editor de texto.
Este ficheiro contém também código PowerShell, incluindo a versão PowerShell da ferramenta Mimikatz, bem como um enorme blob binário, utilizado para trabalhar com a ferramenta PingCastle e procurar outros anfitriões vulneráveis. As credenciais recolhidas e as informações da rede são utilizadas para penetrar nas máquinas disponíveis e infetá-las. À DLL do malware é atribuído um nome aleatório, diferente para cada sistema infetado.
Entretanto, os peritos da Cybereason observam que o WannaMine continua a utilizar os mesmos servidores que já tinham sido vistos em operações maliciosas anteriores. Os peritos tentaram contactar os fornecedores de alojamento proprietários dos endereços detetados, mas não obtiveram resposta.
