Слабкі паролі відкрили шлях до майнінгу монеро на SQL-серверах
Зловмисники використовують слабкі паролі до доступних з інтернету серверів Microsoft SQL Server, щоб запустити майнінг монеро та встановити програму віддаленого доступу Gh0st RAT. Шкідливе ПЗ здатне викрадати дані й керувати зараженими машинами, з’ясували у FortiGuard Labs.
Дослідник Сяопен Чжан (Xiaopeng Zhang) описав операцію у звіті від 12 листопада. Активність виявили на початку жовтня 2026 року. У публікації не названо нападників і не наведено підтвердженої кількості постраждалих.
Як зловмисники потрапляють на сервери
Інструменти атаки шукають відкриті бази даних і намагаються увійти за допомогою заздалегідь визначених облікових даних. Список містить понад 2700 паролів, які поєднують з іменами користувачів, зокрема «sa» та «admin».
Отримавши доступ, нападники виконують команди бази даних, які вмикають xp_cmdshell і встановлюють завантажувач. Той отримує майнер монеро та варіант Gh0st RAT із сервера, підконтрольного зловмисникам.
Функція xp_cmdshell відкриває командну оболонку Windows усередині SQL Server. За документацією Microsoft, у нових установках SQL Server вона вимкнена і зазвичай має залишатися такою. Деякі старі програми все ще потребують цієї функції, однак компанія рекомендує вмикати її лише на час виконання необхідного завдання.
Команди, які адміністратор бази даних запускає через xp_cmdshell, успадковують дозволи безпеки облікового запису служби SQL Server. Microsoft радить обмежити доступ до функції користувачами з високими привілеями, а коли вона потрібна неадміністраторам — застосовувати проксіобліковий запис із меншими привілеями.
Для використання xp_cmdshell неадміністратору потрібні налаштовані облікові дані проксі: без них операція завершиться невдачею. Компанія також попереджає, що ввімкнення або використання функції може спричинити спрацювання засобів аудиту безпеки.
Майнер під виглядом оновлення Edge
Майнер має назву MicrosoftEdgeUpdate.exe, маскуючись під засіб оновлення браузера Microsoft Edge. Він використовує процесор скомпрометованої машини для видобутку монеро через XMRig. За аналізом Чжана, у його конфігурації є адреса гаманця та адреси трьох майнінгових пулів.
Другий шкідливий файл, winlogon.exe, є варіантом Gh0st RAT. Він може записувати натискання клавіш, керувати файлами та виконувати віддалені команди. Функції захоплення екрана і віддаленого робочого столу забезпечуються плагінами, але у дослідженому зразку їх не було.
Для збереження доступу шкідливе ПЗ використовує записи реєстру, службу Windows і заплановані завдання. Завдання для RAT запускається кожні 30 хвилин. Дослідники аналізували програму без підключення до активного командного сервера: відповідна інфраструктура припинила роботу ще до початку аналізу.
Попередні атаки на сервери та macOS
У липні 2024 року зловмисники також використовували вразливі сервери обміну файлами для поширення майнерів монеро та програм віддаленого доступу. Розслідування AhnLab зафіксувало атаки на Rejetto HTTP File Server, під час яких встановлювали XMRig, XenoRAT і Gh0stRAT.
AhnLab виявила щонайменше чотирьох нападників, які розгортали майнери через відкритий сервіс, зокрема угруповання LemonDuck. Дослідники спостерігали, як зловмисники збирали інформацію про системи та створювали облікові записи для прихованого доступу. У багатьох випадках після закріплення вони зупиняли файловий сервер, щоб ним не скористалися інші нападники.
Пізніше Apple виправила вразливість macOS, яку експлуатували для встановлення майнерів монеро через функцію Screen Sharing. У повідомленні від 12 серпня Національний центр кібербезпеки Нідерландів підтвердив проникнення в кілька систем, чий порт Screen Sharing був доступний з інтернету.
За даними центру, у кожному зареєстрованому випадку нападники отримували права root і встановлювали майнер. У повідомленні йшлося про слабкість автентифікації, яка дозволяла доступ без дійсних облікових даних. Виправлення були доступні для macOS Sequoia, Sonoma і Tahoe.
Фальшивий набір до CrowdStrike
Окрема кампанія з використанням чужого імені торкнулася американської компанії з кібербезпеки CrowdStrike у січні 2025 року. Листи нібито від її рекрутерів пропонували шукачам роботи завантажити застосунок, представлений як інструмент управління працівниками. Компанія виявила кампанію 7 січня 2025 року.
На сторінці завантаження пропонували варіанти для Windows і macOS, але обидва вели до виконуваного файлу Windows, написаного мовою Rust. Цей файл завантажував XMRig.
Перед продовженням шкідливий застосунок перевіряв наявність програм для налагодження, підраховував активні процеси та з’ясовував, чи має процесор щонайменше два ядра. Після проходження перевірок він показував фальшиве повідомлення про помилку і продовжував завантажувати майнер. CrowdStrike заявила, що ніколи не вимагає від кандидатів завантажувати програмне забезпечення під час найму.
