Майнинг
Хакеры используют слабые пароли для развертывания майнеров Monero и Gh0st RAT через SQL-серверы
Недавняя хакерская кампания была раскрыта, нацеливаясь на базы данных Microsoft SQL Server, доступные в интернете, с целью развертывания двух вредоносных программ: майнера Monero и трояна удаленного доступа (RAT), известного как Gh0st RAT. Лаборатория FortiGuard сообщила об этой операции 12 ноября 2026 года, отметив, что злоумышленники в основном использовали слабые пароли, а не сложные уязвимости.
Как разворачивается атака
Атака начинается с разведки, используя инструмент под названием Naabu для сканирования доступных экземпляров SQL Server. После их выявления злоумышленники применяют инструмент брутфорса на основе .NET, который перебирает более 2,700 распространенных паролей, пока не будет достигнут успешный вход. Получив доступ, они выполняют вредоносные команды T-SQL для активации функции под названием xp_cmdshell, что позволяет им запускать команды непосредственно на операционной системе сервера.
Вредоносные нагрузки и их влияние
Первая вредоносная нагрузка — это криптовалютный майнер, созданный на основе XMRig, замаскированный под именем MicrosoftEdgeUpdate.exe, чтобы избежать обнаружения. Этот майнер использует ресурсы ЦП жертвы и подключается к различным пулам для майнинга, включая nanopool и kryptex. Вторая нагрузка, Gh0st RAT, предоставляет злоумышленникам обширный контроль над зараженной машиной, поддерживая более 30 команд для управления файлами, записи нажатий клавиш, захвата экрана и кражи учетных данных.
Меры защиты
Лаборатория FortiGuard подчеркивает, что организациям, использующим SQL Server, следует внедрять сильные, уникальные пароли и рассмотреть возможность отключения баз данных от публичного интернета. Отключение xp_cmdshell также может помочь снизить риски. Командам безопасности рекомендуется следить за необычными процессами, запланированными задачами и неожиданными исходящими соединениями с известными пулами для майнинга.
Атрибуция и инфраструктура
Инфраструктура командного управления для этой кампании включала домены, такие как server.vietnam852[.]com. Хотя исследователи не подтвердили количество жертв, они отметили, что вредоносное ПО проявляло черты, указывающие на потенциальную связь с говорящими на китайском языке злоумышленниками.
FAQ
Какие типы полезных нагрузок используются в этой хакерской кампании?
В хакерской кампании используются два типа полезных нагрузок: майнер криптовалюты Monero и троян удаленного доступа (RAT), известный как Gh0st RAT.
Как злоумышленники получают доступ к базам данных SQL Server?
Злоумышленники получают доступ, используя слабые пароли, применяя инструмент грубой силы, который перебирает более 2700 распространенных паролей, пока не удастся войти.
Какова цель функции xp_cmdshell в SQL Server?
Функция xp_cmdshell позволяет злоумышленникам выполнять команды непосредственно на операционной системе сервера после получения доступа к SQL Server.
Какие защитные меры могут предпринять организации для защиты от этого типа атаки?
Организации должны внедрить надежные, уникальные пароли, рассмотреть возможность отключения баз данных от публичного интернета и отключить xp_cmdshell для снижения рисков.
Каковы потенциальные последствия Gh0st RAT для зараженных машин?
Gh0st RAT предоставляет злоумышленникам обширный контроль над зараженной машиной, позволяя управлять файлами, записывать нажатия клавиш, захватывать экран и красть учетные данные.