В начале 2018 года многие компании в сфере безопасности и независимые эксперты предупредили о появлении майнингового ботнета, использующего зараженные хосты для добычи криптовалюты Monero. По словам экспертов, количество купленных автомобилей сократилось с 500 000 до 1 000 000, а операторы вредоносного ПО «заработали» около 8 900 Monero (примерно 2 миллиона долларов по тогдашнему курсу обмена).
Это вредоносное ПО получило название WannaMine, об угрозе которого сообщили специалисты компании CrowdStrike. Разумеется, параллель с WannaCry не случайна. Дело в том, что для распространения вредоносных программ используются эксплойты EternalBlue (CVE-2017-0144) и EsteemAudit (CVE-2017-0176), нацеленные на уязвимые компьютеры под управлением Windows. Названия этих эксплойтов хорошо известны не только специалистам по информационной безопасности, но и обычным пользователям, ведь именно EternalBlue весной 2017 года использовался для распространения шифровальщика WannaCry, наделавшего много шума.
Напомню, что летом 2016 года группа хакеров, называющая себя The Shadow Brokers, смогла украсть хакерские инструменты у специалистов АНБ. Долгое время злоумышленники безуспешно пытались продать находившееся в их руках «кибероружие», но не смогли организовать аукцион и не нашли прямого покупателя. После этого в апреле 2017 года группа бесплатно опубликовала украденные данные в открытом доступе.
Эти готовые к использованию инструменты из арсенала АНБ (точнее, эксплойты EternalBlue и DoublePulsar) были задействованы создателями WannaCry. Кроме того, эксплойты спецслужб переняли создатели NotPetya, а также другой майнинговый вредонос Adylkuzz и другие.
Microsoft устранила упомянутые уязвимости, которые эксплуатируют инструменты, украденные у АНБ, и подготовила исправления для устаревших и неподдерживаемых операционных систем, включая Windows XP, Windows 8 и Windows Server 2003. Однако даже год спустя многие компании и пользователи не спешили устанавливать эти обновления.
Аналитики Cybereason предупредили, что вредоносное ПО WannaMine по-прежнему активно и заражает сети крупных компаний. Так, эксперты сообщили, что на днях майнинговый вирус атаковал одного из их клиентов, крупную компанию, филиалы которой по всему миру входили в список Fortune 500. Проникнув в уязвимую машину, вредоносная программа за один день распространилась более чем на 1000 систем. В результате были заражены десятки контроллеров домена и около 2 000 конечных устройств.
Исследователи пишут, что атаки WannaMine практически бесфайловые. Так, скрипт PowerShell загружается с удаленного сервера, что помогает вредоносной программе закрепиться в системе. Кроме того, с сервера управления загружается большой файл с текстом в кодировке base64. Примечательно, что полезная нагрузка из-за обфускации настолько объемна, что открыть её в текстовом редакторе практически невозможно.
В этом файле также содержится код PowerShell, включая версию инструмента Mimikatz для PowerShell, а также огромный бинарный блоб, используемый для работы с инструментом PingCastle и поиска других уязвимых хостов. Собранные учетные данные и сетевая информация используются для проникновения в доступные машины и их заражения. DLL-файлу вредоноса присваивается случайное имя, разное для каждой зараженной системы.
При этом эксперты Cybereason отмечают, что WannaMine по-прежнему использует те же серверы, которые ранее фиксировались в ходе вредоносных операций. Эксперты пытались связаться с владельцами хостинг-провайдеров обнаруженных адресов, но ответа не получили.
