2018年初，许多安全公司和独立专家警告称，出现了一种挖矿僵尸网络，它利用受感染的主机挖掘门罗币（Monero）加密货币。据专家称，被购买的电脑数量从50万台增加到100万台，恶意软件的运营者“赚取”了约8900枚门罗币（按当时的汇率约合200万美元）。
这一恶意软件被命名为WannaMine，其威胁由CrowdStrike公司的专家披露。当然，它与WannaCry的相似之处并非偶然。事实上，为了传播恶意程序，它利用了针对存在漏洞的Windows计算机的EternalBlue（CVE-2017-0144）和EternalSynergy（CVE-2017-0176，原文为EsteemAudit）漏洞利用程序。这些漏洞利用程序的名称不仅信息安全专业人士熟知，普通用户也广为人知，因为正是EternalBlue在2017年春天被用来传播广受关注的WannaCry勒索软件。
请允许我提醒您，2016年夏天，一个自称“影子经纪人”（The Shadow Brokers）的黑客组织成功窃取了美国国家安全局（NSA）专家使用的黑客工具。在很长一段时间里，这些黑客试图出售手中的这一“网络武器”，但未能组织拍卖，也没有找到直接买家。此后，2017年4月，该组织免费公开了被盗数据，使其进入公共领域。
这些现成的NSA武器库工具（更准确地说是EternalBlue和DoublePulsar漏洞利用程序）被WannaCry的创作者所利用。此外，NotPetya的制作者也采用了特殊部门的漏洞利用程序，另一种挖矿恶意软件Adylkuzz等也是如此。
微软已修复上述利用了NSA被窃工具的漏洞，并为已过时且不再支持的操作系统准备了补丁，包括Windows XP、Windows 8和Windows Server 2003。然而，即便过去一年，仍有许多企业和用户并不在意修复这些问题。
Cybereason的分析人员警告称，WannaMine恶意软件仍然活跃，并正在感染大型企业的网络。专家表示，前几天，一种挖矿病毒攻击了他们的一位客户，这是一家分支机构遍布全球、列入《财富》500强名单的大型企业。恶意程序渗入一台存在漏洞的机器后，在一天之内便扩散到了1000多个系统。最终，数十台域控制器和约2000个终端遭到感染。
研究人员指出，WannaMine攻击几乎不留文件痕迹。PowerShell脚本从远程服务器加载，帮助恶意软件在系统中立足。此外，一个包含base64文本的大型文件也从管理服务器加载。值得注意的是，由于混淆处理，其有效载荷庞大到几乎无法在文本编辑器中打开。
该文件还包含PowerShell代码，其中包括Mimikatz工具的PowerShell版本，以及一个用于配合PingCastle工具搜索其他易受攻击主机的巨大二进制数据块。收集到的凭据和网络信息被用于侵入可访问的机器并感染它们。恶意DLL会被赋予一个随机名称，且每台受感染的系统各不相同。
同时，Cybereason的专家指出，WannaMine仍在使用此前恶意操作中出现过的同一批服务器。专家们曾尝试联系所检测到的地址的托管服务商，但未获得回复。
