Hacker nutzen schwache Passwörter aus, um Monero-Miner und Gh0st RAT über SQL-Server zu verbreiten

Eine kürzlich aufgedeckte Hacker-Kampagne hat es auf öffentlich zugängliche Microsoft SQL Server-Datenbanken abgesehen, um zwei bösartige Payloads zu verbreiten: einen Monero-Miner und einen als Gh0st RAT bekannten Remote Access Trojaner (RAT). FortiGuard Labs gab am 12. November 2026 bekannt, dass die Angreifer hauptsächlich schwache Passwörter ausnutzten, anstatt auf komplexe Schwachstellen zurückzugreifen.

Wie der Angriff abläuft

Der Angriff beginnt mit einer Aufklärung, bei der ein Tool namens Naabu verwendet wird, um nach zugänglichen SQL Server-Instanzen zu scannen. Sobald diese identifiziert sind, setzen die Angreifer ein .NET-basiertes Brute-Force-Tool ein, das über 2.700 gängige Passwörter durchläuft, bis ein erfolgreicher Login erreicht wird. Nach dem Zugriff führen sie bösartige T-SQL-Befehle aus, um eine Funktion namens xp_cmdshell zu aktivieren, die es ihnen ermöglicht, Befehle direkt im Betriebssystem des Servers auszuführen.

Payloads und deren Auswirkungen

Die erste Payload ist ein Kryptowährungs-Miner, der auf XMRig basiert und unter dem Namen MicrosoftEdgeUpdate.exe getarnt ist, um Erkennung zu vermeiden. Dieser Miner verbraucht die CPU-Ressourcen des Opfers und verbindet sich mit verschiedenen Mining-Pools, darunter nanopool und kryptex. Die zweite Payload, Gh0st RAT, gewährt den Angreifern umfangreiche Kontrolle über die infizierte Maschine und unterstützt über 30 Befehle für Dateiverwaltung, Keylogging, Bildschirmaufnahme und Diebstahl von Anmeldedaten.

Abwehrmaßnahmen

FortiGuard Labs betont, dass Organisationen, die SQL Server betreiben, starke, einzigartige Passwörter implementieren und in Betracht ziehen sollten, Datenbanken nicht im öffentlichen Internet zu belassen. Das Deaktivieren von xp_cmdshell kann ebenfalls helfen, Risiken zu mindern. Sicherheitsteams wird geraten, auf ungewöhnliche Prozesse, geplante Aufgaben und unerwartete ausgehende Verbindungen zu bekannten Mining-Pools zu achten.

Zuordnung und Infrastruktur

Die Command-and-Control-Infrastruktur dieser Kampagne umfasste Domains wie server.vietnam852[.]com. Obwohl die Forscher die Anzahl der Opfer nicht bestätigen konnten, stellten sie fest, dass die Malware Merkmale aufwies, die auf eine mögliche Verbindung zu chinesischsprachigen Akteuren hindeuten.