FortiGuard Labs a découvert une campagne qui s'introduit dans des serveurs Microsoft SQL exposés à Internet pour installer un logiciel de minage de Monero et un malware d'accès à distance capable de voler des données et de contrôler les machines infectées.
Résumé
- Les attaquants utilisent des mots de passe de base de données faibles pour installer un mineur de Monero et une variante de Gh0st RAT.
- Le programme de minage se fait passer pour un programme de mise à jour de Microsoft Edge tout en utilisant la puissance de traitement du serveur.
- Des modifications du registre, des services Windows et des tâches planifiées aident le malware à maintenir l'accès aux systèmes compromis.
FortiGuard Labs a détaillé l'opération dans un rapport du 12 novembre rédigé par le chercheur Xiaopeng Zhang, à la suite de sa découverte de l'activité début octobre 2026. La publication n'identifie pas les attaquants et ne donne pas de nombre confirmé de victimes.
Des mots de passe SQL Server faibles permettent aux attaquants d'installer des malwares
Selon la recherche, les outils d'attaque recherchent des bases de données exposées et tentent de se connecter à l'aide d'identifiants prédéfinis. La liste de mots de passe contient plus de 2 700 entrées, associées à des noms d'utilisateur tels que « sa » et « admin ».
Après avoir obtenu l'accès, les attaquants exécutent des commandes de base de données qui activent xp_cmdshell et installent un téléchargeur. Le téléchargeur récupère le mineur de Monero et Gh0st RAT depuis un serveur contrôlé par l'attaquant.
La documentation de Microsoft indique que xp_cmdshell est désactivé sur les nouvelles installations de SQL Server et devrait généralement rester désactivé. Certaines applications plus anciennes en ont encore besoin, mais l'entreprise recommande de ne l'activer que pendant l'exécution d'une tâche nécessaire.
Cette fonctionnalité ouvre un shell de commandes Windows depuis l'intérieur de SQL Server. Microsoft explique que les commandes exécutées par un administrateur de base de données via ce mécanisme héritent des autorisations de sécurité du compte de service SQL Server. Ses recommandations préconisent de restreindre l'accès aux utilisateurs hautement privilégiés et d'utiliser un compte proxy moins privilégié lorsque des non-administrateurs ont besoin de cette fonctionnalité.
Microsoft note qu'un non-administrateur a besoin d'un identifiant proxy configuré pour utiliser xp_cmdshell. Sans cet identifiant, l'opération échoue. L'entreprise avertit que l'activation ou l'utilisation de cette fonctionnalité peut déclencher des outils d'audit de sécurité.
Le mineur de Monero se cache derrière un nom de mise à jour Edge
La charge utile de minage, MicrosoftEdgeUpdate.exe, utilise le processeur de la machine compromise pour miner du Monero via XMRig. Sa configuration contient une adresse de portefeuille et trois adresses de pool de minage, selon l'analyse de Zhang.
Une seconde charge utile, winlogon.exe, est une variante de Gh0st RAT dotée de capacités d'enregistrement des frappes clavier, de gestion de fichiers et de commandes à distance. Les fonctions de capture d'écran et de bureau à distance sont fournies via des plugins ; elles n'étaient pas présentes dans l'échantillon analysé.
Les mécanismes de persistance décrits dans le rapport comprennent des entrées de registre, un service Windows et des tâches planifiées. La tâche planifiée du RAT s'exécute toutes les 30 minutes.
Les chercheurs ont examiné le RAT sans le connecter à un serveur de commande actif, car cette infrastructure avait déjà été arrêtée avant l'analyse.
Des attaques antérieures contre des serveurs associaient des mineurs à des outils d'accès à distance
Comme crypto.news l'a rapporté précédemment, des attaquants ont utilisé des serveurs de partage de fichiers vulnérables pour distribuer des mineurs de Monero et des malwares d'accès à distance en juillet 2024. L'enquête d'AhnLab a documenté des attaques contre Rejetto HTTP File Server, notamment des installations de XMRig, XenoRAT et Gh0stRAT.
AhnLab a identifié au moins quatre attaquants déployant des logiciels de minage via le service exposé, dont le groupe LemonDuck. Ses chercheurs ont observé des intrus collectant des informations système, créant des comptes de porte dérobée et, dans de nombreux cas, mettant fin au serveur de fichiers après avoir établi l'accès pour empêcher d'autres attaquants de l'utiliser.
Plus récemment, Apple a corrigé une faille de macOS après que des attaquants ont exploité le partage d'écran pour installer des mineurs de Monero. Dans un avis du 12 août, le Centre national de cybersécurité des Pays-Bas a confirmé des intrusions sur plusieurs systèmes dont le port de partage d'écran était accessible depuis Internet.
L'agence a déclaré que les attaquants avaient obtenu un accès root et installé un mineur dans chaque cas signalé. Son avis décrivait une faiblesse d'authentification qui permettait un accès sans identifiants valides, avec des correctifs disponibles pour macOS Sequoia, Sonoma et Tahoe.
Une arnaque de recrutement CrowdStrike a livré le même logiciel de minage
La société de cybersécurité américaine CrowdStrike a fait face à une campagne d'usurpation d'identité distincte impliquant de fausses offres de recrutement en janvier 2025. La société a déclaré que des courriels se faisant passer pour ses recruteurs dirigeaient les demandeurs d'emploi vers le téléchargement d'une application présentée comme un outil de gestion des employés.
CrowdStrike a identifié la campagne le 7 janvier 2025. Son analyse a révélé que la page de téléchargement proposait des options Windows et macOS, bien que les deux livraient un exécutable Windows écrit en Rust qui récupérait XMRig.
Avant de poursuivre, l'application malveillante vérifiait la présence de logiciels de débogage, comptait les processus actifs et vérifiait que le processeur avait au moins deux cœurs. Après avoir passé ces contrôles, elle affichait un faux message d'erreur et continuait à télécharger le mineur. CrowdStrike a déclaré qu'elle n'exige jamais des candidats qu'ils téléchargent des logiciels dans le cadre de son processus de recrutement.
