Minage
Des hackers exploitent des mots de passe faibles pour déployer des mineurs de Monero et Gh0st RAT via des serveurs SQL
Une récente campagne de hacking a été révélée, ciblant les bases de données Microsoft SQL Server accessibles sur Internet pour déployer deux charges utiles malveillantes : un mineur de Monero et un cheval de Troie d'accès à distance (RAT) connu sous le nom de Gh0st RAT. FortiGuard Labs a divulgué cette opération le 12 novembre 2026, notant que les attaquants ont principalement exploité des mots de passe faibles plutôt que des vulnérabilités sophistiquées.
Déroulement de l'attaque
L'attaque commence par une reconnaissance, utilisant un outil appelé Naabu pour scanner les instances SQL Server accessibles. Une fois identifiées, les attaquants emploient un outil de force brute basé sur .NET qui parcourt plus de 2 700 mots de passe courants jusqu'à ce qu'un accès soit obtenu. Après avoir gagné l'accès, ils exécutent des commandes T-SQL malveillantes pour activer une fonctionnalité appelée xp_cmdshell, leur permettant d'exécuter des commandes directement sur le système d'exploitation du serveur.
Charges utiles et leur impact
La première charge utile est un mineur de cryptomonnaie construit sur XMRig, déguisé sous le nom de MicrosoftEdgeUpdate.exe pour échapper à la détection. Ce mineur consomme les ressources CPU de la victime et se connecte à divers pools de minage, y compris nanopool et kryptex. La seconde charge utile, Gh0st RAT, accorde aux attaquants un contrôle étendu sur la machine infectée, prenant en charge plus de 30 commandes pour la gestion de fichiers, l'enregistrement des frappes, la capture d'écran et le vol de données d'identification.
Mesures de défense
FortiGuard Labs souligne que les organisations utilisant SQL Server devraient mettre en œuvre des mots de passe forts et uniques et envisager de garder les bases de données hors d'Internet public. Désactiver xp_cmdshell peut également aider à atténuer les risques. Les équipes de sécurité sont conseillées de surveiller les processus inhabituels, les tâches planifiées et les connexions sortantes inattendues vers des pools de minage connus.
Attribution et infrastructure
L'infrastructure de commande et de contrôle de cette campagne comprenait des domaines tels que server.vietnam852[.]com. Bien que les chercheurs n'aient pas confirmé le nombre de victimes, ils ont noté que le malware présentait des caractéristiques suggérant un lien potentiel avec des acteurs de langue chinoise.
FAQ
Quels types de charges utiles sont déployées dans cette campagne de hacking ?
La campagne de hacking déploie deux types de charges utiles : un mineur de cryptomonnaie Monero et un cheval de Troie d'accès à distance (RAT) connu sous le nom de Gh0st RAT.
Comment les attaquants accèdent-ils aux bases de données SQL Server ?
Les attaquants accèdent en exploitant des mots de passe faibles, en utilisant un outil de force brute qui parcourt plus de 2 700 mots de passe courants jusqu'à ce qu'ils réussissent à se connecter.
Quel est le but de la fonctionnalité xp_cmdshell dans SQL Server ?
La fonctionnalité xp_cmdshell permet aux attaquants d'exécuter des commandes directement sur le système d'exploitation du serveur après avoir accédé à SQL Server.
Quelles mesures de défense les organisations peuvent-elles prendre pour se protéger contre ce type d'attaque ?
Les organisations devraient mettre en œuvre des mots de passe forts et uniques, envisager de garder les bases de données hors d'Internet public et désactiver xp_cmdshell pour atténuer les risques.
Quels sont les impacts potentiels du Gh0st RAT sur les machines infectées ?
Gh0st RAT accorde aux attaquants un contrôle étendu sur la machine infectée, permettant la gestion des fichiers, l'enregistrement des touches, la capture d'écran et le vol d'identifiants.