Worm WannaMine: Analisi e intervento

Il nostro team ha recentemente individuato, analizzato e gestito un tentativo di compromissione da malware WannaMine.

WannaMine è un malware di tipo Worm (noto dal 2017) il cui scopo è quello di propagarsi all’interno delle reti aziendali e di effettuare il mining di criptovalute (Monero) su tutti i sistemi compromessi.

La sue funzionalità di propagazione tramite credenziali valide (Mimikatz e moduli Empire) e lo sfruttamento di vulnerabilità del protocollo SMB (EternalBlue CVE-2017-0144) rendono le attività di Incident Response più complesse. Inoltre, la struttura quasi interamente fileless del malware permette a quest’ultimo di superare le classiche protezioni per Endpoint.  

L’analisi del sample ha permesso ai nostri analisti di ottenere informazioni sulle modalità di compromissione e propagazione del Worm oltre che l’indirizzo del Wallet Monero associato a questo gruppo criminale: 46gVfDm99aq9JqESFxXFp5AyFCZPHsbTn48dWAtVASddf4TmhQMkxvQadhKPvAjszJV8cQKVHHLQ7WpNrh33ogkGUPHhpVP

Alcune delle Tattiche e le Tecniche associate a compromissione da Worm WannaMine:

Il malware, noto dal 2017, ha subito diverse modifiche ed è presente in rete con diverse varianti e funzionalità.‎

Indice dell’articolo:

Analisi catena di Compromissione

Avvio della compromissione

Il vettore d’attacco utilizzato dal Worm è, con molta probabilità, rappresentato da attività di Drive-By Compromise. L’avvio del dropper (uno script in Powershell, in6.ps1) sul sistema scatena una lunga catena di eventi responsabili dell’installazione del malware.

La prima parte del codice viene utilizzata per bypassare l’Anti-Malware Scan Interface di Windows (AMSI) .

All’interno del dropper è presente un elenco di URL di server utilizzati per il download del malware durante le attività di Lateral Movement: ‎

La restante parte di codice contiene le istruzioni per l’installazione del  cryptominer nel sistema:

Persistenza

Il malware stabilisce la propria persistenza tramite la registrazione di eventi di Windows Management Instrumentation (WMI). WMI può essere usato per eseguire del codice al verificarsi di un evento specifico.

Per fare alcuni esempi, è possibile scatenare un comando ad una certa ora del giorno, o all’accesso dell’utente o dopo un certo tempo di inattività del computer. In questo modo è possibile registrare un evento ed eseguire codice arbitrario al verificarsi di tale evento, fornendo un perfetto meccanismo di persistenza.

• SCM Event8 Log Consumer viene eseguito circa ogni 4 ore in modo tale da riprendere il processo di infezione nel caso in cui precedentemente tale processo fosse fallito;
• SCM Event8 Log Consumer2 viene eseguito 4/5 minuti dopo l’avvio del sistema.

Lateral Movement

Il lateral movement viene eseguito tramite gli artefatti funs, mimi e sc estratti dalla variabile $fa.

Funs è un file PowerShell contenente tutte le funzioni necessarie per infettare gli altri sistemi della rete.
Gran pare del codice di funs proviene dal framework Empire.
Attraverso Get-creds utilizza l’artefatto mimi, contenete il codice di Mimikatz, per estrarre username e password dal sistema. Successivamente utilizza test-net a cui viene passato un array con gli IP di classe B e C identificati nella rete.

Questa funzione avvia l’attività di propagazione su reti interne all’azienda:

‎Lo script contiene una serie di meccanismi di propagazione (in ordine di esecuzione):

1. Remote execution con WMI
2. Remote execution con Samba
3. Exploit della vulnerabilità Eternal Blue, in cui utilizza l’artefatto sc come shellcode.

Cryptocurrency mining

Per poter eseguire l’attività di mining Monero, il malware utilizza due artefatti: mon e mue.

Primo metodo – MON

‎Come primo tentativo, il worm esegue l’artefatto mon in modalità fileless, il codice è infatti inserito nella classe systemcore_Updater8 che viene richiamata tramite PowerShell. ‎

Il codice risulta essere una copia del miner open-source XMRig.

Configurazione del software XMRig:

• Cryptomoneta: Monero
• Wallet: 46gVfDm99aq9JqESFxXFp5AyFCZPHsbTn48dWAtVASddf4TmhQMkxvQadhKPvAjszJV8cQKVHHLQ7WpNrh33ogkGUPHhpVP
• Indirizzi di pool:
  • xmr-eu1.nanopool.org:14444
  • xmr-asia1.nanopool.org:14444
  • xmr-eu2.nanopool.org:14444
  • xmr-us-east1.nanopool.org:14444
  • xmr-us-west1.nanopool.org:14444
  • pool.minexmr.com:80
  • sg.minexmr.com:80
  • ca.minexmr.com:80

Viene poi installato sul sistema l’artefatto ring con il nome WinRing0x64.sys.
Questo risulta essere un driver Microsoft utilizzato da mon per ottimizzare l’algoritmo RandomX Monero di mining.
Il driver, seppur lecito, possiede diverse vulnerabilità che se sfruttate permetterebbero ad un malintenzionato di ottenere i privilegi di SYSTEM.

Secondo metodo – MUE

‎Se la prima esecuzione non risulta andare a buon fine, WannaMine esegue un artefatto diverso, posizionando il file su disco tramite WMI, chiamandolo mue.exe (percorso di sistema C:\Windows\system32). ‎
L’eseguibile risulta essere una versione obsoleta di XMRig che non sfrutta il driver WinRing0x64.sys.