FortiGuard Labs 发现了一项攻击活动，该活动入侵面向互联网的 Microsoft SQL Server，以安装门罗币挖矿软件和能够窃取数据并控制受感染机器的远程访问恶意软件。
摘要
- 攻击者利用弱数据库密码安装门罗币挖矿程序和 Gh0st RAT 变种。
- 该挖矿程序伪装成 Microsoft Edge 更新程序，同时利用服务器的处理能力。
- 注册表更改、Windows 服务和计划任务帮助恶意软件维持对受感染系统的访问。
FortiGuard Labs 在研究员 Xiaopeng Zhang 于 11 月 12 日发布的报告中详细介绍了此次行动，此前该实验室于 2026 年 10 月初发现了这一活动。该报告未指明攻击者身份，也未给出确认的受害者数量。
弱 SQL Server 密码使攻击者得以安装恶意软件
根据该研究，攻击工具会搜索暴露的数据库，并尝试使用预定义凭据登录。密码列表包含 2,700 多个条目，并与“sa”和“admin”等用户名配对使用。
在获得访问权限后，攻击者会运行数据库命令，启用 xp_cmdshell 并安装一个下载器。该下载器从攻击者控制的服务器获取门罗币挖矿程序和 Gh0st RAT。
微软的文档指出，xp_cmdshell 在新的 SQL Server 安装中默认禁用，通常应保持关闭状态。一些较旧的应用程序仍然需要它，但该公司建议仅在运行必要任务时启用它。
该功能会从 SQL Server 内部打开一个 Windows 命令 shell。微软解释说，数据库管理员通过此机制运行的命令会继承 SQL Server 服务账户的安全权限。其指南建议限制对高权限用户的访问，并在非管理员需要该功能时使用权限较低的代理账户。
微软指出，非管理员需要配置代理凭据才能使用 xp_cmdshell。如果没有该凭据，操作将失败。该公司警告称，启用或使用该功能可能会触发安全审计工具。
门罗币挖矿程序隐藏在 Edge 更新名称背后
挖矿载荷 MicrosoftEdgeUpdate.exe 利用受感染机器的 CPU 通过 XMRig 挖掘门罗币。根据 Zhang 的分析，其配置包含一个钱包地址和三个矿池地址。
第二个载荷 winlogon.exe 是 Gh0st RAT 的一个变种，具有键盘记录、文件管理和远程命令功能。屏幕捕获和远程桌面功能通过插件提供；它们在所分析的样本中并不存在。
报告中描述的持久化机制包括注册表项、一个 Windows 服务和计划任务。该 RAT 的计划任务每 30 分钟运行一次。
研究人员在未将其连接到实时命令服务器的情况下检查了该 RAT，因为该基础设施在分析之前已经关闭。
早前的服务器攻击将挖矿程序与远程访问工具配对使用
正如 crypto.news 此前报道的那样，攻击者在 2024 年 7 月利用存在漏洞的文件共享服务器分发门罗币挖矿程序和远程访问恶意软件。AhnLab 的调查记录了对 Rejetto HTTP File Server 的攻击，包括安装 XMRig、XenoRAT 和 Gh0stRAT。
AhnLab 确认至少有四名攻击者通过该暴露的服务部署挖矿软件，其中包括 LemonDuck 组织。其研究人员观察到入侵者收集系统信息、创建后门账户，并且在许多情况下，在建立访问权限后终止文件服务器，以防止其他攻击者使用它。
最近，苹果在攻击者利用屏幕共享安装门罗币挖矿程序后修补了一个 macOS 漏洞。在 8 月 12 日的一份公告中，荷兰国家网络安全中心确认了多起入侵事件，这些系统的屏幕共享端口可从互联网访问。
该机构表示，在所有报告的案例中，攻击者都获得了 root 访问权限并安装了挖矿程序。其公告描述了一个身份验证弱点，允许在没有有效凭据的情况下获得访问权限，并针对 macOS Sequoia、Sonoma 和 Tahoe 提供了修复程序。
CrowdStrike 招聘骗局传播了相同的挖矿软件
美国网络安全公司 CrowdStrike 在 2025 年 1 月遭遇了一场单独的冒充活动，涉及虚假招聘邀约。该公司表示，冒充其招聘人员的电子邮件引导求职者下载一个被呈现为员工管理工具的应用程序。
CrowdStrike 于 2025 年 1 月 7 日识别出该活动。其分析发现，下载页面提供了 Windows 和 macOS 选项，尽管两者都提供了一个用 Rust 编写的 Windows 可执行文件，该文件会获取 XMRig。
在继续之前，该恶意应用程序会检查调试软件、统计活动进程数，并验证 CPU 至少有两个核心。通过那些检查后，它会显示一条虚假错误消息，并继续下载挖矿程序。CrowdStrike 表示，其招聘流程从不要求候选人下载软件。
