Hackers Explotan Contraseñas Débiles para Desplegar Mineros de Monero y Gh0st RAT a través de Servidores SQL

Se ha revelado una reciente campaña de hacking que tiene como objetivo bases de datos de Microsoft SQL Server expuestas a Internet, desplegando dos cargas útiles maliciosas: un minero de Monero y un troyano de acceso remoto (RAT) conocido como Gh0st RAT. FortiGuard Labs dio a conocer la operación el 12 de noviembre de 2026, señalando que los atacantes explotaron principalmente contraseñas débiles en lugar de vulnerabilidades sofisticadas.

Cómo se Desarrolla el Ataque

El ataque comienza con una fase de reconocimiento, utilizando una herramienta llamada Naabu para escanear instancias de SQL Server accesibles. Una vez identificadas, los atacantes emplean una herramienta de fuerza bruta basada en .NET que prueba más de 2,700 contraseñas comunes hasta lograr un inicio de sesión exitoso. Tras obtener acceso, ejecutan comandos T-SQL maliciosos para habilitar una función llamada xp_cmdshell, lo que les permite ejecutar comandos directamente en el sistema operativo del servidor.

Cargas Útiles y su Impacto

La primera carga útil es un minero de criptomonedas construido sobre XMRig, disfrazado bajo el nombre MicrosoftEdgeUpdate.exe para evadir la detección. Este minero consume los recursos de CPU de la víctima y se conecta a varios pools de minería, incluyendo nanopool y kryptex. La segunda carga útil, Gh0st RAT, otorga a los atacantes un control extenso sobre la máquina infectada, soportando más de 30 comandos para gestión de archivos, registro de teclas, captura de pantalla y robo de credenciales.

Medidas de Defensa

FortiGuard Labs enfatiza que las organizaciones que operan SQL Server deben implementar contraseñas fuertes y únicas, y considerar mantener las bases de datos fuera de Internet público. Deshabilitar xp_cmdshell también puede ayudar a mitigar riesgos. Se aconseja a los equipos de seguridad monitorear procesos inusuales, tareas programadas y conexiones salientes inesperadas hacia pools de minería conocidos.

Atribución e Infraestructura

La infraestructura de comando y control para esta campaña incluía dominios como server.vietnam852[.]com. Aunque los investigadores no han confirmado el número de víctimas, señalaron que el malware exhibía características que sugieren un posible vínculo con actores de habla china.