O FortiGuard Labs descobriu uma campanha que invade servidores Microsoft SQL expostos à internet para instalar software de mineração de Monero e malware de acesso remoto capaz de roubar dados e controlar máquinas infectadas.
Resumo
- Os atacantes usam senhas de banco de dados fracas para instalar um minerador de Monero e uma variante do Gh0st RAT.
- O programa de mineração se passa por um atualizador do Microsoft Edge enquanto usa o poder de processamento do servidor.
- Alterações no registro, serviços do Windows e tarefas agendadas ajudam o malware a manter o acesso aos sistemas comprometidos.
O FortiGuard Labs detalhou a operação em um relatório de 12 de novembro do pesquisador Xiaopeng Zhang, após a descoberta da atividade no início de outubro de 2026. A publicação não identifica os atacantes nem fornece uma contagem confirmada de vítimas.
Senhas fracas do SQL Server permitem que atacantes instalem malware
De acordo com a pesquisa, as ferramentas de ataque procuram bancos de dados expostos e tentam fazer login usando credenciais predefinidas. A lista de senhas contém mais de 2.700 entradas, combinadas com nomes de usuário como “sa” e “admin”.
Após obter acesso, os atacantes executam comandos de banco de dados que habilitam o xp_cmdshell e instalam um downloader. O downloader recupera o minerador de Monero e o Gh0st RAT de um servidor controlado pelo atacante.
A documentação da Microsoft diz que o xp_cmdshell fica desabilitado em novas instalações do SQL Server e geralmente deve permanecer desligado. Alguns aplicativos mais antigos ainda o exigem, mas a empresa recomenda habilitá-lo apenas enquanto uma tarefa necessária estiver em execução.
O recurso abre um shell de comando do Windows de dentro do SQL Server. A Microsoft explica que os comandos executados por um administrador de banco de dados por meio desse mecanismo herdam as permissões de segurança da conta de serviço do SQL Server. Sua orientação recomenda restringir o acesso a usuários altamente privilegiados e usar uma conta proxy com menos privilégios quando não administradores precisarem do recurso.
A Microsoft observa que um não administrador precisa de uma credencial proxy configurada para usar o xp_cmdshell. Sem essa credencial, a operação falha. A empresa alerta que habilitar ou usar o recurso pode acionar ferramentas de auditoria de segurança.
Minerador de Monero se esconde atrás de um nome de atualização do Edge
O payload de mineração, MicrosoftEdgeUpdate.exe, usa a CPU da máquina comprometida para minerar Monero por meio do XMRig. Sua configuração contém um endereço de carteira e três endereços de pool de mineração, de acordo com a análise de Zhang.
Um segundo payload, winlogon.exe, é uma variante do Gh0st RAT com capacidades de keylogging, gerenciamento de arquivos e comandos remotos. As funções de captura de tela e área de trabalho remota são fornecidas por meio de plugins; elas não estavam presentes na amostra analisada.
Os mecanismos de persistência descritos no relatório incluem entradas de registro, um serviço do Windows e tarefas agendadas. A tarefa agendada do RAT é executada a cada 30 minutos.
Os pesquisadores examinaram o RAT sem conectá-lo a um servidor de comando ativo porque essa infraestrutura já havia sido desativada antes da análise.
Ataques anteriores a servidores combinavam mineradores com ferramentas de acesso remoto
Como o crypto.news relatou anteriormente, atacantes usaram servidores de compartilhamento de arquivos vulneráveis para distribuir mineradores de Monero e malware de acesso remoto em julho de 2024. A investigação da AhnLab documentou ataques contra o Rejetto HTTP File Server, incluindo instalações de XMRig, XenoRAT e Gh0stRAT.
A AhnLab identificou pelo menos quatro atacantes implantando software de mineração por meio do serviço exposto, incluindo o grupo LemonDuck. Seus pesquisadores observaram invasores coletando informações do sistema, criando contas de backdoor e, em muitos casos, encerrando o servidor de arquivos após estabelecer acesso para impedir que outros atacantes o usassem.
Mais recentemente, a Apple corrigiu uma falha no macOS depois que atacantes exploraram o Compartilhamento de Tela para instalar mineradores de Monero. Em um aviso de 12 de agosto, o Centro Nacional de Segurança Cibernética dos Países Baixos confirmou invasões em vários sistemas cuja porta de Compartilhamento de Tela era acessível pela internet.
A agência afirmou que os atacantes obtiveram acesso root e instalaram um minerador em todos os casos relatados. Seu comunicado descreveu uma vulnerabilidade de autenticação que permitia acesso sem credenciais válidas, com correções disponíveis para macOS Sequoia, Sonoma e Tahoe.
Golpe de recrutamento da CrowdStrike entregou o mesmo software de mineração
A empresa de cibersegurança dos EUA CrowdStrike enfrentou uma campanha de personificação separada envolvendo ofertas de recrutamento falsas em janeiro de 2025. A empresa disse que e-mails se passando por seus recrutadores direcionavam candidatos a empregos para baixar um aplicativo apresentado como uma ferramenta de gestão de funcionários.
A CrowdStrike identificou a campanha em 7 de janeiro de 2025. Sua análise descobriu que a página de download oferecia opções para Windows e macOS, embora ambas entregassem um executável do Windows escrito em Rust que buscava o XMRig.
Antes de prosseguir, o aplicativo malicioso verificava a presença de software de depuração, contava os processos ativos e verificava se a CPU tinha pelo menos dois núcleos. Após passar por essas verificações, ele exibia uma mensagem de erro falsa e continuava baixando o minerador. A CrowdStrike disse que nunca exige que os candidatos baixem software como parte de seu processo de recrutamento.
