2018’in başlarında birçok güvenlik şirketi ve bağımsız uzman, Monero kripto parasını çıkarmak için enfekte olmuş sistemleri kullanan bir madencilik botnet’inin ortaya çıkışı konusunda uyarıda bulundu. Uzmanlara göre ele geçirilen makine sayısı 500.000 ile 1.000.000 arasındaydı ve kötü amaçlı yazılımın operatörleri yaklaşık 8.900 Monero “kazandı” (o dönemdeki geçerli kurla yaklaşık 2 milyon dolar).
Bu kötü amaçlı yazılıma WannaMine adı verildi; tehdidi CrowdStrike şirketinin uzmanları tespit etti. Elbette WannaCry ile kurulan paralellik tesadüf değil. Zira kötü amaçlı yazılım, savunmasız Windows bilgisayarlarını hedef alan EternalBlue (CVE-2017-0144) ve EsteemAudit (CVE-2017-0176) exploit’leri aracılığıyla yayılıyor. Bu exploit’lerin adları yalnızca bilgi güvenliği uzmanları tarafından değil, sıradan kullanıcılar tarafından da iyi biliniyor; çünkü 2017 baharında büyük yankı uyandıran WannaCry şifreleme yazılımını yaymak için kullanılan da tam olarak EternalBlue’ydu.
Hatırlatmak gerekirse, 2016 yazında kendilerine The Shadow Brokers adını veren bir hacker grubu, NSA uzmanlarına ait bilgisayar saldırı araçlarını çalmayı başarmıştı. Hacker’lar uzun süre ellerindeki “siber silahı” satmaya çalıştı, ancak ne bir açık artırma düzenleyebildiler ne de doğrudan bir alıcı bulabildiler. Bunun üzerine grup, Nisan 2017’de çalınan verileri ücretsiz olarak, herkesin erişimine açık şekilde yayımladı.
NSA cephaneliğinden çıkan bu kullanıma hazır araçlar (daha doğrusu EternalBlue ve DoublePulsar exploit’leri) WannaCry’ın yaratıcıları tarafından kullanıldı. Ayrıca istihbarat servislerine ait exploit’ler, NotPetya’nın yaratıcıları, bir diğer madenci zararlı yazılım olan Adylkuzz ve başkaları tarafından da benimsendi.
Microsoft, NSA’den çalınan araçları kullanan yukarıda sözü edilen güvenlik açıklarını kapattı ve Windows XP, Windows 8 ve Windows Server 2003 gibi eskimiş ve artık desteklenmeyen işletim sistemleri için de yamalar hazırladı. Ancak bir yıl sonra bile birçok şirket ve kullanıcı bu yamaları uygulama zahmetine girmedi.
Cybereason analistleri, WannaMine kötü amaçlı yazılımının hâlâ aktif olduğunu ve büyük şirketlerin ağlarını enfekte etmeyi sürdürdüğünü bildirdi. Uzmanlar, geçenlerde bir madencilik virüsünün müşterilerinden birine, dünyanın dört bir yanında şubeleri bulunan ve Fortune 500 listesinde yer alan büyük bir şirkete saldırdığını açıkladı. Savunmasız bir makineye sızan kötü amaçlı yazılım, tek bir günde 1000’den fazla sisteme yayıldı. Sonuç olarak onlarca etki alanı denetleyicisi ve yaklaşık 2000 uç nokta enfekte oldu.
Araştırmacılar, WannaMine saldırılarının neredeyse dosyasız olduğunu yazıyor. PowerShell betiği uzak bir sunucudan yükleniyor ve bu, kötü amaçlı yazılımın sistemde tutunmasına yardımcı oluyor. Ayrıca yönetim sunucusundan, base64 metni içeren hacimli bir dosya yükleniyor. Gizleme (obfuscation) nedeniyle yükün o kadar devasa olduğu ve bir metin düzenleyicide açılmasının neredeyse imkânsız olduğu belirtiliyor.
Bu dosya ayrıca Mimikatz aracının PowerShell sürümü de dahil olmak üzere PowerShell kodu ile PingCastle aracıyla çalışmak ve diğer savunmasız hostları aramak için kullanılan devasa bir ikili blob içeriyor. Toplanan kimlik bilgileri ve ağ bilgileri, erişilebilir makinelere sızmak ve onları enfekte etmek için kullanılıyor. Kötü amaçlı DLL’ye, enfekte olan her sistem için farklı olan rastgele bir ad veriliyor.
Aynı zamanda Cybereason uzmanları, WannaMine’ın daha önce başka kötü amaçlı operasyonlarda görülen sunucuların aynısını kullanmaya devam ettiğini belirtiyor. Uzmanlar, tespit edilen adreslerin sahibi olan hosting sağlayıcılarıyla iletişime geçmeye çalıştı, ancak yanıt alamadı.
