Monero 挖礦程式與 Gh0st RAT 聯手劫持 Microsoft SQL Server

FortiGuard Labs 揭露了一波攻擊行動，該行動入侵對外開放於網際網路的 Microsoft SQL Server，以安裝 Monero 挖礦軟體與可竊取資料並控制受感染機器的遠端存取惡意程式。

FortiGuard Labs 在研究員 Xiaopeng Zhang 於 11 月 12 日發布的報告中詳述了這起行動，此前該實驗室於 2026 年 10 月初發現了此活動。該出版物並未指明攻擊者身分，也未提供確認的受害者數量。

弱 SQL Server 密碼讓攻擊者得以安裝惡意程式

根據該研究，攻擊工具會搜尋暴露的資料庫，並嘗試使用預先定義的認證資料登入。密碼清單包含超過 2,700 筆項目，搭配「sa」與「admin」等使用者名稱。

取得存取權後，攻擊者會執行資料庫命令以啟用 xp_cmdshell 並安裝下載器。該下載器會從攻擊者控制的伺服器擷取 Monero 挖礦程式與 Gh0st RAT。

Microsoft 的文件指出，xp_cmdshell 在全新安裝的 SQL Server 上預設為停用，且一般應保持關閉。部分較舊的應用程式仍需要它，但該公司建議僅在執行必要工作時啟用。

此功能會從 SQL Server 內部開啟 Windows 命令殼層。Microsoft 解釋，資料庫管理員透過此機制執行的命令會繼承 SQL Server 服務帳戶的安全權限。其指引建議限制僅高權限使用者可存取，並在非管理員需要使用此功能時，改用權限較低的代理帳戶。

Microsoft 指出，非管理員需要已設定的代理認證才能使用 xp_cmdshell。若無該認證，操作將會失敗。該公司警告，啟用或使用此功能可能觸發安全稽核工具。

Monero 挖礦程式藏身於 Edge 更新名稱之後

挖礦酬載 MicrosoftEdgeUpdate.exe 使用受駭機器的 CPU，透過 XMRig 挖掘 Monero。根據 Zhang 的分析，其組態包含一個錢包位址與三個礦池位址。

第二個酬載 winlogon.exe 是 Gh0st RAT 變種，具備鍵盤記錄、檔案管理與遠端命令功能。螢幕擷取與遠端桌面功能透過外掛程式提供；這些功能並未出現在所分析的樣本中。

報告中描述的持續潛伏機制包括登錄檔項目、一個 Windows 服務與排程工作。該 RAT 的排程工作每 30 分鐘執行一次。

研究人員在未將其連接至即時命令伺服器的情況下檢視了該 RAT，因為該基礎設施在分析前便已關閉。

先前的伺服器攻擊將挖礦程式與遠端存取工具搭配使用

正如 crypto.news 先前報導，攻擊者於 2024 年 7 月利用有漏洞的檔案分享伺服器散布 Monero 挖礦程式與遠端存取惡意程式。AhnLab 的調查記錄了針對 Rejetto HTTP File Server 的攻擊，包括安裝 XMRig、XenoRAT 與 Gh0stRAT。

AhnLab 識別出至少四名攻擊者透過該暴露的服務部署挖礦軟體，其中包括 LemonDuck 集團。其研究人員觀察到入侵者蒐集系統資訊、建立後門帳戶，且在許多情況下於建立存取權後終止該檔案伺服器，以防止其他攻擊者使用。

更近期，Apple 在攻擊者利用螢幕共享安裝 Monero 挖礦程式後，修補了 macOS 漏洞。在 8 月 12 日的公告中，荷蘭國家網路安全中心確認了多個系統遭入侵，其螢幕共享連接埠可從網際網路觸及。

該機構表示，在每一宗通報案例中，攻擊者都取得了 root 權限並安裝了挖礦程式。其公告描述了一項身分驗證弱點，允許在沒有有效憑證的情況下取得存取權限，並為 macOS Sequoia、Sonoma 和 Tahoe 提供了修復程式。

CrowdStrike 招募詐騙散布了相同的挖礦軟體

美國網路安全公司 CrowdStrike 於 2025 年 1 月遭遇了一起獨立的冒充活動，涉及虛假招募邀約。該公司表示，冒充其招募人員的電子郵件引導求職者下載一款以員工管理工具名義呈現的應用程式。

CrowdStrike 於 2025 年 1 月 7 日識別出該活動。其分析發現，該下載頁面提供了 Windows 和 macOS 選項，儘管兩者都提供了一個以 Rust 編寫的 Windows 可執行檔，該檔案會取得 XMRig。

在繼續執行之前，該惡意應用程式會檢查除錯軟體、計算作用中的處理程序數量，並確認 CPU 至少具有兩個核心。通過這些檢查後，它會顯示一則虛假的錯誤訊息，並繼續下載挖礦程式。CrowdStrike 表示，其招募流程從不要求應徵者下載軟體。