I början av 2018 varnade många säkerhetsföretag och oberoende experter för framväxten av ett gruvbotnät som använde infekterade värdar för att utvinna kryptovalutan Monero. Enligt experterna minskade antalet köpta bilar från 500 000 till 1 000 000, och skadevaruoperatörerna ”tjänade” omkring 8 900 Monero (cirka 2 miljoner dollar enligt den då gällande växelkursen).
Skadevaran fick namnet WannaMine, och hotet identifierades av specialisterna på företaget CrowdStrike. Parallellen till WannaCry är förstås ingen slump. Faktum är att man för att sprida de skadliga programmen använde exploits som EternalBlue (CVE-2017-0144) och EsteemAudit (CVE-2017-0176), riktade mot sårbara Windows-datorer. Namnen på dessa exploits är välkända inte bara bland informationssäkerhetsproffs utan även bland vanliga användare, eftersom det var just EternalBlue som under våren 2017 användes för att sprida utpressningsprogrammet WannaCry, som väckte enorm uppmärksamhet.
Låt mig påminna om att en grupp hackare som kallade sig The Shadow Brokers sommaren 2016 lyckades stjäla hackarverktyg från NSA:s specialister. Under lång tid försökte hackarna förgäves sälja det ”cybervapen” de hade fått tag på, men de lyckades varken organisera en auktion eller hitta en direkt köpare. Därefter, i april 2017, publicerade gruppen de stulna uppgifterna gratis, öppet för alla.
Dessa färdiga verktyg ur NSA:s arsenal (närmare bestämt exploits som EternalBlue och DoublePulsar) användes av skaparna av WannaCry. Dessutom togs underrättelsetjänsternas exploits i bruk av skaparna av NotPetya, en annan gruvskadevara, Adylkuzz, med flera.
Microsoft har åtgärdat de ovan nämnda sårbarheterna, som utnyttjar verktyg stulna från NSA, och tagit fram korrigeringar för föråldrade operativsystem som inte längre stöds, bland annat Windows XP, Windows 8 och Windows Server 2003. Men även ett år senare brydde sig många företag och användare inte om att åtgärda dem.
Analytikerna på Cybereason har varnat för att skadevaran WannaMine fortfarande är aktiv och infekterar stora företags nätverk. Experterna uppgav att ett gruvvirus häromdagen angrep en av deras kunder, ett stort företag med filialer över hela världen som finns med på Fortune 500-listan. Efter att ha tagit sig in i en sårbar maskin spred sig skadevaran till över 1 000 system på en enda dag. Följden blev att dussintals domänkontrollanter och omkring 2 000 slutpunkter infekterades.
Forskarna skriver att WannaMine-attackerna nästan är filfria. PowerShell-skriptet laddas alltså från en fjärrserver, vilket hjälper skadevaran att få fäste i systemet. Dessutom laddas en stor fil med base64-text från kontrollservern. Det är värt att notera att nyttolasten, på grund av obfuskeringen, är så enorm att den knappt går att öppna i en textredigerare.
Den här filen innehåller också PowerShell-kod, bland annat PowerShell-versionen av verktyget Mimikatz, samt en enorm binär blob som används för att arbeta med verktyget PingCastle och söka efter andra sårbara värdar. De insamlade inloggningsuppgifterna och nätverksinformationen används för att ta sig in i tillgängliga maskiner och infektera dem. Skadevarans DLL får ett slumpmässigt namn, som är olika för varje infekterat system.
Samtidigt konstaterar experterna på Cybereason att WannaMine fortfarande använder samma servrar som tidigare setts i skadliga operationer. Experterna försökte kontakta de webbhotell som äger de upptäckta adresserna, men fick inget svar.
