FortiGuard Labs ha descubierto una campaña que irrumpe en servidores Microsoft SQL expuestos a internet para instalar software de minería de Monero y malware de acceso remoto capaz de robar datos y controlar las máquinas infectadas.
Resumen
- Los atacantes utilizan contraseñas de bases de datos débiles para instalar un minero de Monero y una variante de Gh0st RAT.
- El programa de minería se hace pasar por un actualizador de Microsoft Edge mientras utiliza la potencia de procesamiento del servidor.
- Cambios en el registro, servicios de Windows y tareas programadas ayudan al malware a mantener el acceso a los sistemas comprometidos.
FortiGuard Labs detalló la operación en un informe del 12 de noviembre del investigador Xiaopeng Zhang, tras su descubrimiento de la actividad a principios de octubre de 2026. La publicación no identifica a los atacantes ni proporciona un recuento confirmado de víctimas.
Las contraseñas débiles de SQL Server permiten a los atacantes instalar malware
Según la investigación, las herramientas de ataque buscan bases de datos expuestas e intentan iniciar sesión utilizando credenciales predefinidas. La lista de contraseñas contiene más de 2.700 entradas, emparejadas con nombres de usuario como "sa" y "admin".
Tras obtener acceso, los atacantes ejecutan comandos de base de datos que habilitan xp_cmdshell e instalan un descargador. El descargador recupera el minero de Monero y Gh0st RAT desde un servidor controlado por el atacante.
La documentación de Microsoft indica que xp_cmdshell está deshabilitado en las nuevas instalaciones de SQL Server y generalmente debe permanecer desactivado. Algunas aplicaciones más antiguas todavía lo requieren, pero la compañía recomienda habilitarlo solo mientras se ejecuta una tarea necesaria.
La función abre un shell de comandos de Windows desde dentro de SQL Server. Microsoft explica que los comandos ejecutados por un administrador de base de datos a través de este mecanismo heredan los permisos de seguridad de la cuenta de servicio de SQL Server. Su guía recomienda restringir el acceso a usuarios con altos privilegios y utilizar una cuenta de proxy con menos privilegios cuando los no administradores necesitan la función.
Microsoft señala que un no administrador necesita una credencial de proxy configurada para usar xp_cmdshell. Sin esa credencial, la operación falla. La compañía advierte que habilitar o usar la función puede activar herramientas de auditoría de seguridad.
El minero de Monero se oculta tras un nombre de actualización de Edge
El payload de minería, MicrosoftEdgeUpdate.exe, utiliza la CPU de la máquina comprometida para minar Monero a través de XMRig. Su configuración contiene una dirección de monedero y tres direcciones de grupos de minería, según el análisis de Zhang.
Un segundo payload, winlogon.exe, es una variante de Gh0st RAT con capacidades de registro de teclas, gestión de archivos y comandos remotos. Las funciones de captura de pantalla y escritorio remoto se suministran mediante plugins; no estaban presentes en la muestra analizada.
Los mecanismos de persistencia descritos en el informe incluyen entradas de registro, un servicio de Windows y tareas programadas. La tarea programada del RAT se ejecuta cada 30 minutos.
Los investigadores examinaron el RAT sin conectarlo a un servidor de comandos activo porque esa infraestructura ya se había cerrado antes del análisis.
Ataques anteriores a servidores combinaron mineros con herramientas de acceso remoto
Como informó previamente crypto.news, los atacantes utilizaron servidores de intercambio de archivos vulnerables para distribuir mineros de Monero y malware de acceso remoto en julio de 2024. La investigación de AhnLab documentó ataques contra Rejetto HTTP File Server, incluidas instalaciones de XMRig, XenoRAT y Gh0stRAT.
AhnLab identificó al menos cuatro atacantes que desplegaron software de minería a través del servicio expuesto, incluido el grupo LemonDuck. Sus investigadores observaron a intrusos recopilando información del sistema, creando cuentas de puerta trasera y, en muchos casos, terminando el servidor de archivos después de establecer acceso para evitar que otros atacantes lo utilizaran.
Más recientemente, Apple parcheó una vulnerabilidad de macOS después de que los atacantes explotaran Compartir pantalla para instalar mineros de Monero. En un aviso del 12 de agosto, el Centro Nacional de Ciberseguridad de los Países Bajos confirmó intrusiones en múltiples sistemas cuyo puerto de Compartir pantalla era accesible desde internet.
La agencia dijo que los atacantes obtuvieron acceso root e instalaron un minero en cada caso reportado. Su aviso describió una debilidad de autenticación que permitía el acceso sin credenciales válidas, con correcciones disponibles para macOS Sequoia, Sonoma y Tahoe.
La estafa de reclutamiento de CrowdStrike entregó el mismo software de minería
La empresa estadounidense de ciberseguridad CrowdStrike enfrentó una campaña de suplantación de identidad separada que involucró ofertas de reclutamiento falsas en enero de 2025. La empresa dijo que los correos electrónicos que se hacían pasar por sus reclutadores dirigían a los solicitantes de empleo a descargar una aplicación presentada como una herramienta de gestión de empleados.
CrowdStrike identificó la campaña el 7 de enero de 2025. Su análisis encontró que la página de descarga ofrecía opciones para Windows y macOS, aunque ambas entregaban un ejecutable de Windows escrito en Rust que obtenía XMRig.
Antes de continuar, la aplicación maliciosa verificaba si había software de depuración, contaba los procesos activos y comprobaba que la CPU tuviera al menos dos núcleos. Después de pasar esas comprobaciones, mostraba un mensaje de error falso y continuaba descargando el minero. CrowdStrike dijo que nunca requiere que los candidatos descarguen software como parte de su proceso de reclutamiento.
