La începutul anului 2018, numeroase companii de securitate și experți independenți au avertizat despre apariția unui botnet de minat care folosea gazde infectate pentru a extrage criptomoneda Monero. Potrivit experților, numărul de mașini infectate a fost estimat între 500 000 și 1 000 000, iar operatorii malware-ului au “câștigat” aproximativ 8 900 de Monero (circa 2 milioane de dolari la cursul de schimb din acea perioadă).
Acest malware a fost numit WannaMine, denumire dată de specialiștii companiei CrowdStrike. Desigur, paralela cu WannaCry nu este întâmplătoare. Este vorba despre faptul că, pentru a răspândi programele malware, sunt folosite exploit-urile EternalBlue (CVE-2017-0144) și EsteemAudit (CVE-2017-0176), care vizează computerele Windows vulnerabile. Numele acestor exploit-uri sunt bine cunoscute nu doar profesioniștilor în securitatea informațiilor, ci chiar și utilizatorilor obișnuiți, deoarece tocmai EternalBlue a fost folosit în primăvara anului 2017 pentru a răspândi ransomware-ul WannaCry, care a făcut vâlvă în întreaga lume.
Vă reamintesc că, în vara anului 2016, un grup de hackeri care se numeau The Shadow Brokers a reușit să fure instrumentele de hacking ale specialiștilor de la NSA. Mult timp, hackerii au încercat în zadar să vândă „arma cibernetică” aflată în posesia lor, dar nu au reușit nici să organizeze o licitație, nici să găsească un cumpărător direct. După aceea, în aprilie 2017, grupul a publicat gratuit datele furate, în domeniul public.
Aceste instrumente gata de utilizare din arsenalul NSA (mai exact, exploit-urile EternalBlue și DoublePulsar) au fost folosite de creatorii WannaCry. De asemenea, exploit-urile serviciilor speciale au fost preluate de creatorii NotPetya, de un alt malware de minat, Adylkuzz, și de alții.
Microsoft a remediat vulnerabilitățile menționate, care folosesc instrumente furate de la NSA, și a pregătit patch-uri pentru sisteme de operare învechite și neacceptate, inclusiv Windows XP, Windows 8 și Windows Server 2003. Cu toate acestea, chiar și un an mai târziu, multe companii și utilizatori nu s-au preocupat să le aplice.
Analiștii de la Cybereason au avertizat că malware-ul WannaMine este încă activ și continuă să infecteze rețelele marilor companii. Astfel, experții au declarat că, mai deunăzi, un virus de minat a atacat unul dintre clienții lor, o mare companie ale cărei filiale din întreaga lume figurau în lista Fortune 500. După ce s-a infiltrat într-o mașină vulnerabilă, malware-ul s-a răspândit la peste 1000 de sisteme într-o singură zi. În consecință, zeci de controlere de domeniu și aproximativ 2 000 de terminale au fost infectate.
Cercetătorii scriu că atacurile WannaMine sunt aproape fără fișiere. Astfel, script-ul PowerShell este încărcat de pe un server la distanță, ceea ce ajută malware-ul să se stabilizeze în sistem. În plus, de pe serverul de comandă este încărcat un fișier voluminos care conține text base64. De remarcat că payload-ul, din cauza ofuscării, este atât de uriaș încât este aproape imposibil de deschis într-un editor de text.
Acest fișier conține, de asemenea, cod PowerShell, inclusiv versiunea PowerShell a instrumentului Mimikatz, precum și un blob binar enorm, folosit pentru a lucra cu instrumentul PingCastle și a căuta alte gazde vulnerabile. Datele de autentificare colectate și informațiile despre rețea sunt folosite pentru a pătrunde în mașinile disponibile și a le infecta. DLL-ul malware primește un nume aleatoriu, diferit pentru fiecare sistem infectat.
În același timp, experții de la Cybereason notează că WannaMine folosește în continuare aceleași servere ca cele observate anterior în operațiuni malițioase. Experții au încercat să contacteze furnizorii de găzduire care dețin adresele detectate, dar nu au primit niciun răspuns.
