FortiGuard Labs hat eine Kampagne aufgedeckt, die in internetseitig erreichbare Microsoft SQL Server eindringt, um Monero-Mining-Software und Fernzugriffs-Malware zu installieren, die Daten stehlen und infizierte Maschinen kontrollieren kann.
Zusammenfassung
- Angreifer nutzen schwache Datenbankpasswörter, um einen Monero-Miner und eine Gh0st-RAT-Variante zu installieren.
- Das Mining-Programm gibt sich als Microsoft Edge-Updater aus und nutzt dabei die Rechenleistung des Servers.
- Registrierungsänderungen, Windows-Dienste und geplante Aufgaben helfen der Malware, den Zugriff auf kompromittierte Systeme aufrechtzuerhalten.
FortiGuard Labs beschrieb die Operation in einem Bericht vom 12. November von Forscher Xiaopeng Zhang, nachdem die Aktivität Anfang Oktober 2026 entdeckt worden war. Die Veröffentlichung nennt die Angreifer nicht und gibt keine bestätigte Opferzahl an.
Schwache SQL-Server-Passwörter ermöglichen Angreifern die Installation von Malware
Laut der Untersuchung suchen die Angriffswerkzeuge nach exponierten Datenbanken und versuchen, sich mit vordefinierten Anmeldedaten anzumelden. Die Passwortliste enthält mehr als 2.700 Einträge, kombiniert mit Benutzernamen wie „sa“ und „admin“.
Nachdem sie Zugriff erlangt haben, führen die Angreifer Datenbankbefehle aus, die xp_cmdshell aktivieren und einen Downloader installieren. Der Downloader ruft den Monero-Miner und die Gh0st RAT von einem von den Angreifern kontrollierten Server ab.
Microsofts Dokumentation besagt, dass xp_cmdshell bei neuen SQL Server-Installationen deaktiviert ist und im Allgemeinen ausgeschaltet bleiben sollte. Einige ältere Anwendungen benötigen es noch, aber das Unternehmen empfiehlt, es nur zu aktivieren, während eine erforderliche Aufgabe ausgeführt wird.
Die Funktion öffnet eine Windows-Befehlsshell aus dem Inneren von SQL Server. Microsoft erklärt, dass Befehle, die von einem Datenbankadministrator über diesen Mechanismus ausgeführt werden, die Sicherheitsberechtigungen des SQL Server-Dienstkontos erben. Die Richtlinie empfiehlt, den Zugriff auf hochprivilegierte Benutzer zu beschränken und ein weniger privilegiertes Proxy-Konto zu verwenden, wenn Nicht-Administratoren die Funktion benötigen.
Microsoft weist darauf hin, dass ein Nicht-Administrator konfigurierte Proxy-Anmeldedaten benötigt, um xp_cmdshell zu verwenden. Ohne diese Anmeldedaten schlägt der Vorgang fehl. Das Unternehmen warnt, dass das Aktivieren oder Verwenden der Funktion Sicherheitsprüfwerkzeuge auslösen kann.
Monero-Miner versteckt sich hinter einem Edge-Update-Namen
Die Mining-Nutzlast, MicrosoftEdgeUpdate.exe, nutzt die CPU der kompromittierten Maschine, um Monero über XMRig zu schürfen. Ihre Konfiguration enthält laut Zhangs Analyse eine Wallet-Adresse und drei Mining-Pool-Adressen.
Eine zweite Nutzlast, winlogon.exe, ist eine Gh0st-RAT-Variante mit Keylogging-, Dateiverwaltungs- und Fernbefehlsfunktionen. Bildschirmaufnahme- und Remote-Desktop-Funktionen werden über Plugins bereitgestellt; sie waren in der analysierten Probe nicht vorhanden.
Die im Bericht beschriebenen Persistenzmechanismen umfassen Registrierungseinträge, einen Windows-Dienst und geplante Aufgaben. Die geplante Aufgabe der RAT wird alle 30 Minuten ausgeführt.
Die Forscher untersuchten die RAT, ohne sie mit einem aktiven Befehlsserver zu verbinden, da diese Infrastruktur bereits vor der Analyse abgeschaltet worden war.
Frühere Server-Angriffe kombinierten Miner mit Fernzugriffswerkzeugen
Wie crypto.news zuvor berichtete, nutzten Angreifer im Juli 2024 anfällige Dateifreigabeserver, um Monero-Miner und Fernzugriffs-Malware zu verbreiten. Die Untersuchung von AhnLab dokumentierte Angriffe gegen Rejetto HTTP File Server, einschließlich der Installationen von XMRig, XenoRAT und Gh0stRAT.
AhnLab identifizierte mindestens vier Angreifer, die Mining-Software über den exponierten Dienst bereitstellten, darunter die Gruppe LemonDuck. Ihre Forscher beobachteten Eindringlinge, die Systeminformationen sammelten, Backdoor-Konten erstellten und in vielen Fällen den Dateiserver nach der Etablierung des Zugriffs beendeten, um andere Angreifer an der Nutzung zu hindern.
In jüngerer Zeit hat Apple eine macOS-Schwachstelle gepatcht, nachdem Angreifer Screen Sharing ausgenutzt hatten, um Monero-Miner zu installieren. In einer Warnung vom 12. August bestätigte das Nationale Cyber-Sicherheitszentrum der Niederlande Eindringlinge auf mehreren Systemen, deren Screen-Sharing-Port aus dem Internet erreichbar war.
Die Behörde erklärte, dass Angreifer in jedem gemeldeten Fall Root-Zugriff erlangten und einen Miner installierten. In ihrer Warnung wurde eine Authentifizierungsschwäche beschrieben, die Zugriff ohne gültige Anmeldedaten ermöglichte, wobei Fixes für macOS Sequoia, Sonoma und Tahoe verfügbar sind.
CrowdStrike-Rekrutierungsbetrug lieferte dieselbe Mining-Software
Das US-amerikanische Cybersicherheitsunternehmen CrowdStrike war im Januar 2025 mit einer separaten Identitätsbetrugskampagne konfrontiert, die gefälschte Rekrutierungsangebote umfasste. Das Unternehmen erklärte, dass E-Mails, die sich als seine Recruiter ausgaben, Stellensuchende dazu verleiteten, eine Anwendung herunterzuladen, die als Mitarbeiterverwaltungstool präsentiert wurde.
CrowdStrike identifizierte die Kampagne am 7. Januar 2025. Seine Analyse ergab, dass die Download-Seite Optionen für Windows und macOS anbot, obwohl beide eine in Rust geschriebene Windows-Executable lieferten, die XMRig abrief.
Vor dem Fortfahren prüfte die schädliche Anwendung auf Debugging-Software, zählte aktive Prozesse und verifizierte, dass die CPU mindestens zwei Kerne hatte. Nach Bestehen dieser Prüfungen zeigte sie eine gefälschte Fehlermeldung an und fuhr mit dem Herunterladen des Miners fort. CrowdStrike erklärte, dass es niemals von Bewerbern verlangt, Software als Teil seines Rekrutierungsprozesses herunterzuladen.
