FortiGuard Labs odkryło kampanię, która włamuje się do dostępnych z internetu serwerów Microsoft SQL w celu zainstalowania oprogramowania do kopania Monero oraz złośliwego oprogramowania zdalnego dostępu zdolnego do kradzieży danych i kontrolowania zainfekowanych maszyn.
Podsumowanie
- Atakujący wykorzystują słabe hasła do baz danych, aby zainstalować koparkę Monero i wariant Gh0st RAT.
- Program kopiący podszywa się pod aktualizator Microsoft Edge, wykorzystując moc obliczeniową serwera.
- Zmiany w rejestrze, usługi Windows i zadania zaplanowane pomagają złośliwemu oprogramowaniu utrzymać dostęp do przejętych systemów.
FortiGuard Labs szczegółowo opisało operację w raporcie z 12 listopada autorstwa badacza Xiaopenga Zhanga, po odkryciu tej aktywności na początku października 2026 r. Publikacja nie identyfikuje atakujących ani nie podaje potwierdzonej liczby ofiar.
Słabe hasła do serwera SQL pozwalają atakującym zainstalować złośliwe oprogramowanie
Według badania narzędzia atakujące wyszukują eksponowane bazy danych i próbują zalogować się przy użyciu predefiniowanych danych uwierzytelniających. Lista haseł zawiera ponad 2700 pozycji, w połączeniu z nazwami użytkowników takimi jak „sa” i „admin”.
Po uzyskaniu dostępu atakujący uruchamiają polecenia bazy danych, które włączają xp_cmdshell i instalują downloader. Downloader pobiera koparkę Monero i Gh0st RAT z serwera kontrolowanego przez atakującego.
Dokumentacja Microsoftu mówi, że xp_cmdshell jest wyłączony w nowych instalacjach SQL Server i generalnie powinien pozostać wyłączony. Niektóre starsze aplikacje nadal go wymagają, ale firma zaleca włączanie go tylko na czas wykonywania niezbędnego zadania.
Funkcja ta otwiera powłokę poleceń Windows z wnętrza SQL Server. Microsoft wyjaśnia, że polecenia uruchamiane przez administratora bazy danych za pośrednictwem tego mechanizmu dziedziczą uprawnienia zabezpieczeń konta usługi SQL Server. Jego wytyczne zalecają ograniczenie dostępu do użytkowników o wysokich uprawnieniach i używanie konta proxy o niższych uprawnieniach, gdy użytkownicy niebędący administratorami potrzebują tej funkcji.
Microsoft zauważa, że użytkownik niebędący administratorem potrzebuje skonfigurowanych poświadczeń proxy, aby użyć xp_cmdshell. Bez tych poświadczeń operacja kończy się niepowodzeniem. Firma ostrzega, że włączenie lub używanie tej funkcji może uruchomić narzędzia audytu bezpieczeństwa.
Koparka Monero ukrywa się pod nazwą aktualizacji Edge
Ładunek kopiący, MicrosoftEdgeUpdate.exe, wykorzystuje procesor przejętej maszyny do kopania Monero poprzez XMRig. Jego konfiguracja zawiera adres portfela i trzy adresy puli wydobywczych, według analizy Zhanga.
Drugi ładunek, winlogon.exe, to wariant Gh0st RAT z możliwościami keyloggingu, zarządzania plikami i zdalnego wykonywania poleceń. Funkcje przechwytywania ekranu i pulpitu zdalnego są dostarczane przez wtyczki; nie były obecne w analizowanej próbce.
Mechanizmy trwałości opisane w raporcie obejmują wpisy rejestru, usługę Windows i zadania zaplanowane. Zadanie zaplanowane RAT-a uruchamia się co 30 minut.
Badacze zbadali RAT-a bez łączenia go z aktywnym serwerem poleceń, ponieważ ta infrastruktura została już zamknięta przed analizą.
Wcześniejsze ataki na serwery łączyły koparki z narzędziami zdalnego dostępu
Jak wcześniej informował crypto.news, atakujący wykorzystali podatne na ataki serwery udostępniania plików do dystrybucji koparek Monero i złośliwego oprogramowania zdalnego dostępu w lipcu 2024 r. Dochodzenie AhnLab udokumentowało ataki na Rejetto HTTP File Server, w tym instalacje XMRig, XenoRAT i Gh0stRAT.
AhnLab zidentyfikował co najmniej czterech atakujących wdrażających oprogramowanie do kopania przez eksponowaną usługę, w tym grupę LemonDuck. Jego badacze zaobserwowali intruzów zbierających informacje o systemie, tworzących konta backdoor i w wielu przypadkach zamykających serwer plików po uzyskaniu dostępu, aby uniemożliwić innym atakującym jego wykorzystanie.
Niedawniej Apple załatało lukę w macOS po tym, jak atakujący wykorzystali Udostępnianie ekranu do zainstalowania koparek Monero. W biuletynie z 12 sierpnia holenderskie Narodowe Centrum Cyberbezpieczeństwa potwierdziło włamania do wielu systemów, których port Udostępniania ekranu był osiągalny z internetu.
Agencja podała, że w każdym zgłoszonym przypadku atakujący uzyskali dostęp root i zainstalowali miner. W swoim biuletynie opisała słabość uwierzytelniania, która umożliwiała dostęp bez ważnych poświadczeń, a poprawki są dostępne dla macOS Sequoia, Sonoma i Tahoe.
Oszustwo rekrutacyjne CrowdStrike dostarczyło to samo oprogramowanie do kopania
Amerykańska firma cyberbezpieczeństwa CrowdStrike zmierzyła się w styczniu 2025 r. z osobną kampanią podszywania się, obejmującą fałszywe oferty rekrutacyjne. Firma podała, że e-maile podszywające się pod jej rekruterów kierowały osoby szukające pracy do pobrania aplikacji przedstawianej jako narzędzie do zarządzania pracownikami.
CrowdStrike zidentyfikowała kampanię 7 stycznia 2025 r. Jej analiza wykazała, że strona pobierania oferowała opcje dla Windows i macOS, choć obie dostarczały plik wykonywalny dla Windows napisany w Rust, który pobierał XMRig.
Przed kontynuowaniem złośliwa aplikacja sprawdzała obecność oprogramowania do debugowania, liczyła aktywne procesy i weryfikowała, czy procesor ma co najmniej dwa rdzenie. Po przejściu tych kontroli wyświetlała fałszywy komunikat o błędzie i kontynuowała pobieranie minera. CrowdStrike podała, że nigdy nie wymaga od kandydatów pobierania oprogramowania w ramach procesu rekrutacji.
