На початку 2018 року численні компанії з кібербезпеки та незалежні експерти попередили про появу майнінг-ботнету, який використовує заражені хости для видобутку криптовалюти Monero. За словами експертів, кількість придбаних автомобілів скоротилася з 500 000 до 1 000 000, а оператори шкідливого ПЗ «заробили» близько 8 900 Monero (приблизно 2 мільйони доларів за тодішнім курсом обміну).
Це шкідливе ПЗ отримало назву WannaMine, про загрозу якого повідомили фахівці компанії CrowdStrike. Звісно, паралель із WannaCry не випадкова. Справа в тому, що для поширення шкідливих програм використовувалися експлойти EternalBlue (CVE-2017-0144) та EsteemAudit (CVE-2017-0176), спрямовані на вразливі комп’ютери під управлінням Windows. Назви цих експлойтів добре відомі не лише фахівцям з інформаційної безпеки, а навіть звичайним користувачам, адже саме EternalBlue навесні 2017 року використовувався для поширення шифрувальника WannaCry, що набув широкої популярності.
Нагадаю, що влітку 2016 року група хакерів, яка називала себе The Shadow Brokers, змогла викрасти хакерські інструменти у фахівців АНБ. Довгий час зловмисники марно намагалися продати «кіберзброю», що опинилася в їхніх руках, але їм не вдалося організувати аукціон або знайти прямого покупця. Після цього у квітні 2017 року група опублікувала викрадені дані у вільному доступі, у публічному домені.
Ці готові інструменти з арсеналу АНБ (точніше, експлойти EternalBlue та DoublePulsar) були використані творцями WannaCry. Крім того, експлойти спецслужб перейняли творці NotPetya, інше шкідливе майнінг-ПЗ Adylkuzz тощо.
Microsoft усунула вищезгадані вразливості, які використовують інструменти, викрадені в АНБ, і підготувала оновлення для застарілих та непідтримуваних операційних систем, зокрема Windows XP, Windows 8 і Windows Server 2003. Однак навіть через рік багато компаній і користувачів не поспішали їх встановлювати.
Аналітики Cybereason попередили, що шкідливе ПЗ WannaMine досі активне і заражає мережі великих компаній. Так, експерти повідомили, що днями майнінг-вірус атакував одного з їхніх клієнтів, велику компанію, філії якої по всьому світу входять до списку Fortune 500. Після проникнення у вразливу машину шкідлива програма поширилася на понад 1000 систем за один день. У результаті було заражено десятки контролерів домену та близько 2 000 кінцевих пристроїв.
Дослідники пишуть, що атаки WannaMine майже безфайлові. Так, сценарій PowerShell завантажується з віддаленого сервера, що допомагає шкідливому ПЗ закріпитися в системі. Крім того, з сервера керування завантажується великий файл із текстом у форматі base64. Варто зазначити, що корисне навантаження через обфускацію настільки великe, що відкрити його в текстовому редакторі майже неможливо.
Цей файл також містить код PowerShell, зокрема PowerShell-версію інструмента Mimikatz, а також величезний бінарний блоб, який використовується для роботи з інструментом PingCastle та пошуку інших вразливих хостів. Зібрані облікові дані та інформація про мережу використовуються для проникнення в доступні машини та їх зараження. Шкідливій DLL присвоюється випадкова назва, різна для кожної зараженої системи.
У той самий час експерти Cybereason зазначають, що WannaMine досі використовує ті самі сервери, які раніше фігурували в шкідливих операціях. Експерти намагалися зв’язатися з власниками хостингу для виявлених адрес, але не отримали відповіді.
