FortiGuard Labs виявила кампанію, яка зламує підключені до інтернету сервери Microsoft SQL, щоб встановити програмне забезпечення для майнінгу Monero та шкідливе програмне забезпечення віддаленого доступу, здатне викрадати дані й керувати інфікованими машинами.
Резюме
- Зловмисники використовують слабкі паролі до баз даних, щоб встановити майнер Monero та варіант Gh0st RAT.
- Програма для майнінгу маскується під оновлювач Microsoft Edge, використовуючи обчислювальну потужність сервера.
- Зміни в реєстрі, служби Windows і заплановані завдання допомагають шкідливому програмному забезпеченню зберігати доступ до скомпрометованих систем.
FortiGuard Labs детально описала операцію в звіті від 12 листопада дослідника Xiaopeng Zhang після виявлення цієї активності на початку жовтня 2026 року. Публікація не ідентифікує зловмисників і не наводить підтвердженої кількості постраждалих.
Слабкі паролі SQL Server дозволяють зловмисникам встановлювати шкідливе програмне забезпечення
Згідно з дослідженням, інструменти атаки шукають відкриті бази даних і намагаються ввійти за допомогою заздалегідь визначених облікових даних. Список паролів містить понад 2700 записів у поєднанні з іменами користувачів, такими як «sa» та «admin».
Отримавши доступ, зловмисники виконують команди бази даних, які вмикають xp_cmdshell і встановлюють завантажувач. Завантажувач отримує майнер Monero та Gh0st RAT із сервера, контрольованого зловмисниками.
У документації Microsoft зазначено, що xp_cmdshell вимкнено на нових інсталяціях SQL Server і зазвичай має залишатися вимкненим. Деякі старіші застосунки все ще потребують його, але компанія рекомендує вмикати його лише на час виконання необхідного завдання.
Ця функція відкриває командну оболонку Windows зсередини SQL Server. Microsoft пояснює, що команди, які виконує адміністратор бази даних через цей механізм, успадковують дозволи безпеки облікового запису служби SQL Server. Її рекомендації радять обмежувати доступ високопривілейованим користувачам і використовувати менш привілейований проксі-обліковий запис, коли функція потрібна неадміністраторам.
Microsoft зазначає, що неадміністратору потрібні налаштовані проксі-облікові дані для використання xp_cmdshell. Без цих облікових даних операція завершується невдачею. Компанія попереджає, що ввімкнення або використання цієї функції може активувати інструменти аудиту безпеки.
Майнер Monero ховається за назвою оновлення Edge
Корисне навантаження для майнінгу, MicrosoftEdgeUpdate.exe, використовує центральний процесор скомпрометованої машини для майнінгу Monero через XMRig. Його конфігурація містить адресу гаманця та три адреси пулів для майнінгу, згідно з аналізом Zhang.
Друге корисне навантаження, winlogon.exe, є варіантом Gh0st RAT із можливостями перехоплення натискань клавіш, керування файлами та віддалених команд. Функції захоплення екрана та віддаленого робочого столу надаються через плагіни; вони були відсутні в проаналізованому зразку.
Механізми збереження доступу, описані у звіті, включають записи реєстру, службу Windows і заплановані завдання. Заплановане завдання RAT запускається кожні 30 хвилин.
Дослідники вивчали RAT, не підключаючи його до живого командного сервера, оскільки ця інфраструктура вже була вимкнена до початку аналізу.
Раніші атаки на сервери поєднували майнери з інструментами віддаленого доступу
Як раніше повідомляло crypto.news, у липні 2024 року зловмисники використовували уразливі сервери обміну файлами для поширення майнерів Monero та шкідливого програмного забезпечення віддаленого доступу. Розслідування AhnLab задокументувало атаки на Rejetto HTTP File Server, зокрема встановлення XMRig, XenoRAT і Gh0stRAT.
AhnLab ідентифікувала щонайменше чотирьох зловмисників, які розгортали програмне забезпечення для майнінгу через відкриту службу, зокрема групу LemonDuck. Її дослідники спостерігали, як зловмисники збирали системну інформацію, створювали бекдор-облікові записи та в багатьох випадках завершували роботу файлового сервера після встановлення доступу, щоб запобігти використанню його іншими зловмисниками.
Нещодавно Apple випустила виправлення для вразливості macOS після того, як зловмисники використали Screen Sharing для встановлення майнерів Monero. У повідомленні від 12 серпня Національний центр кібербезпеки Нідерландів підтвердив вторгнення в кілька систем, порт Screen Sharing яких був доступний з інтернету.
Агентство заявило, що в кожному з повідомлених випадків зловмисники отримували root-доступ і встановлювали майнер. У своєму попередженні воно описало слабкість автентифікації, яка дозволяла отримати доступ без дійсних облікових даних, із доступними виправленнями для macOS Sequoia, Sonoma та Tahoe.
Шахрайство з працевлаштуванням від CrowdStrike доставляло те саме програмне забезпечення для майнінгу
Американська компанія з кібербезпеки CrowdStrike зіткнулася з окремою кампанією імітації, що включала фальшиві пропозиції роботи у січні 2025 року. Компанія заявила, що електронні листи, які видавали себе за її рекрутерів, спрямовували шукачів роботи завантажити додаток, представлений як інструмент управління персоналом.
CrowdStrike виявила цю кампанію 7 січня 2025 року. Її аналіз показав, що сторінка завантаження пропонувала варіанти для Windows і macOS, хоча обидва доставляли виконуваний файл Windows, написаний на Rust, який завантажував XMRig.
Перед продовженням шкідливий додаток перевіряв наявність програмного забезпечення для налагодження, підраховував активні процеси та перевіряв, що центральний процесор має щонайменше два ядра. Після проходження цих перевірок він відображав фальшиве повідомлення про помилку та продовжував завантаження майнера. CrowdStrike заявила, що ніколи не вимагає від кандидатів завантажувати програмне забезпечення в рамках свого процесу найму.
