Лаборатория FortiGuard Labs обнаружила кампанию, в ходе которой злоумышленники проникают на доступные из интернета серверы Microsoft SQL, чтобы установить программу для майнинга Monero и вредоносное ПО для удаленного доступа, способное похищать данные и управлять зараженными машинами.
Краткое содержание
- Злоумышленники используют слабые пароли к базам данных, чтобы установить майнер Monero и вариант Gh0st RAT.
- Майнинг-программа маскируется под обновление Microsoft Edge, используя вычислительные ресурсы сервера.
- Изменения в реестре, службы Windows и запланированные задачи помогают вредоносному ПО сохранять доступ к скомпрометированным системам.
FortiGuard Labs подробно описала операцию в отчете от 12 ноября, подготовленном исследователем Сяопэном Чжаном, после обнаружения активности в начале октября 2026 года. В публикации не названы злоумышленники и не приводится подтвержденное число жертв.
Слабые пароли SQL Server позволяют злоумышленникам устанавливать вредоносное ПО
Согласно исследованию, инструменты атаки ищут открытые базы данных и пытаются войти в них, используя заранее заданные учетные данные. Список паролей содержит более 2700 записей в сочетании с такими именами пользователей, как «sa» и «admin».
Получив доступ, злоумышленники выполняют команды базы данных, которые включают xp_cmdshell и устанавливают загрузчик. Загрузчик получает майнер Monero и Gh0st RAT с сервера, контролируемого злоумышленниками.
В документации Microsoft указано, что xp_cmdshell отключен в новых установках SQL Server и, как правило, должен оставаться выключенным. Некоторые старые приложения по-прежнему требуют его, но компания рекомендует включать его только на время выполнения необходимой задачи.
Эта функция открывает командную оболочку Windows изнутри SQL Server. Microsoft поясняет, что команды, выполняемые администратором базы данных через этот механизм, наследуют разрешения безопасности учетной записи службы SQL Server. В ее рекомендациях предлагается ограничивать доступ высокопривилегированным пользователям и использовать менее привилегированную прокси-учетную запись, когда функция нужна не администраторам.
Microsoft отмечает, что не администратору для использования xp_cmdshell требуется настроенная прокси-учетная запись. Без этих учетных данных операция завершается неудачей. Компания предупреждает, что включение или использование этой функции может активировать инструменты аудита безопасности.
Майнер Monero скрывается под именем обновления Edge
Майнинг-полезная нагрузка MicrosoftEdgeUpdate.exe использует процессор скомпрометированной машины для майнинга Monero через XMRig. Согласно анализу Чжана, ее конфигурация содержит адрес кошелька и три адреса майнинг-пулов.
Вторая полезная нагрузка, winlogon.exe, представляет собой вариант Gh0st RAT с возможностями перехвата нажатий клавиш, управления файлами и удаленного выполнения команд. Функции захвата экрана и удаленного рабочего стола предоставляются через плагины; в проанализированном образце они отсутствовали.
Описанные в отчете механизмы закрепления включают записи реестра, службу Windows и запланированные задачи. Запланированная задача RAT запускается каждые 30 минут.
Исследователи изучали RAT, не подключая его к действующему командному серверу, поскольку эта инфраструктура была уже отключена до начала анализа.
Более ранние атаки на серверы сочетали майнеры с инструментами удаленного доступа
Как ранее сообщал crypto.news, в июле 2024 года злоумышленники использовали уязвимые файлообменные серверы для распространения майнеров Monero и вредоносного ПО для удаленного доступа. Расследование AhnLab задокументировало атаки на Rejetto HTTP File Server, включая установку XMRig, XenoRAT и Gh0stRAT.
AhnLab выявила как минимум четырех злоумышленников, развертывавших майнинг-программы через открытую службу, включая группу LemonDuck. Ее исследователи наблюдали, как злоумышленники собирали системную информацию, создавали бэкдор-учетные записи и во многих случаях завершали работу файлового сервера после получения доступа, чтобы помешать другим атакующим использовать его.
Совсем недавно Apple устранила уязвимость в macOS после того, как злоумышленники использовали функцию «Общий экран» для установки майнеров Monero. В бюллетене от 12 августа Национальный центр кибербезопасности Нидерландов подтвердил вторжения в несколько систем, порт «Общего экрана» которых был доступен из интернета.
Агентство заявило, что злоумышленники получали root-доступ и устанавливали майнер в каждом зарегистрированном случае. В его рекомендациях описывалась слабость аутентификации, позволявшая получить доступ без действительных учетных данных, при этом исправления доступны для macOS Sequoia, Sonoma и Tahoe.
Мошенничество с трудоустройством от CrowdStrike распространяло то же майнинговое ПО
Американская компания по кибербезопасности CrowdStrike столкнулась с отдельной кампанией по выдаче себя за нее, связанной с поддельными предложениями о работе в январе 2025 года. Компания заявила, что электронные письма, выдававшие себя за ее рекрутеров, направляли соискателей на скачивание приложения, представленного как инструмент управления сотрудниками.
CrowdStrike выявила эту кампанию 7 января 2025 года. Ее анализ показал, что страница загрузки предлагала варианты для Windows и macOS, хотя оба варианта предоставляли исполняемый файл Windows, написанный на Rust, который загружал XMRig.
Перед продолжением вредоносное приложение проверяло наличие отладочного ПО, подсчитывало активные процессы и проверяло, что у процессора есть как минимум два ядра. После прохождения этих проверок оно отображало поддельное сообщение об ошибке и продолжало загрузку майнера. CrowdStrike заявила, что никогда не требует от кандидатов скачивать программное обеспечение в рамках процесса найма.
