يصف تقرير جديد هجوم Gh0st RAT على خادم Microsoft SQL Server، حيث يستهدف القراصنة كلمات مرور قواعد البيانات الضعيفة ثم يستخدمون ميزات قاعدة البيانات نفسها لتشغيل البرمجيات الخبيثة على خوادم Windows. الحمولات الخبيثة هي برنامج تعدين عملة Monero المشفرة وGh0st RAT، وهو حصان طروادة للوصول عن بُعد. يحوّل هذا المزيج قاعدة بيانات واحدة سيئة الحماية إلى آلة لكسب المال للمهاجم ونافذة على شبكة الضحية في آنٍ واحد.
تقرير المصدر موجز، لذا يلتزم هذا المقال بما يذكره: يستهدف المهاجمون كلمات مرور Microsoft SQL Server الضعيفة، ويعتمدون على وظائف قاعدة البيانات لتنفيذ برمجياتهم الخبيثة. ومع ذلك، فإن الدروس العملية واضحة وتنطبق على أي مؤسسة تشغّل SQL Server.
كيف يحوّل المهاجمون SQL Server إلى منصة لإطلاق البرمجيات الخبيثة
يبدأ الهجوم بالتخمين. وفقًا للتقرير، يستهدف القراصنة الخوادم المحمية بكلمات مرور ضعيفة. وبمجرد دخولهم، لا يحتاجون إلى استغلال ثغرة غريبة. بدلًا من ذلك، يستخدمون ميزات تشكّل جزءًا من قاعدة البيانات نفسها لتشغيل البرمجيات الخبيثة على جهاز Windows الأساسي.
وهذا ما يجعل هذه التقنية جديرة بالفهم. فخادم قاعدة البيانات مخصص لتنفيذ الأوامر والتعامل مع الملفات نيابةً عن المسؤولين والتطبيقات. وعندما يمتلك المهاجم بيانات اعتماد صالحة، يمكن تحويل هذه الوظائف المشروعة نحو تشغيل البرامج. ولأن النشاط يجري عبر خدمة موثوقة، فقد يبدو أقل إثارة للشك من تنزيل برمجيات خبيثة نموذجي.
ما الذي يفعله Gh0st RAT وبرنامج تعدين Monero بعد التثبيت
تخدم الحمولتان هدفين مختلفين.
يتعلق برنامج تعدين Monero باختطاف الموارد. فهو يستخدم قوة معالجة الخادم لتعدين العملة المشفرة لصالح المهاجم، بينما تدفع الضحية فاتورة الكهرباء وتتحمل تباطؤ الأداء. وقد يكون خادم قاعدة بيانات يعمل فجأة بحرارة عالية أو ببطء علامة على هذا النوع من سوء الاستخدام.
أما Gh0st RAT فيتعلق بالوصول. فهو حصان طروادة للوصول عن بُعد، وهو نوع من البرمجيات الخبيثة يمنح المهاجم تحكمًا عن بُعد في جهاز Windows مصاب. وعادةً ما تُستخدم أدوات الوصول عن بُعد من هذا النوع للمراقبة وسرقة البيانات، وهو أمر مهم على خادم قد يكون قريبًا من سجلات أعمال حساسة.
معًا، تُظهر الحمولتان كيف يمكن للمهاجمين تحقيق الربح من الاختراق فورًا عبر التعدين مع الحفاظ على موطئ قدم طويل الأمد عبر حصان طروادة. وسرقة الموارد من هذا النوع ليست حصرية لبرمجيات التعدين الخبيثة؛ فتغطيتنا لـاختراق Railway، حيث سُرقت قيمة 1.1 مليون دولار من حوسبة الذكاء الاصطناعي عبر حسابات مزيفة، تُظهر نمطًا مشابهًا من استغلال المهاجمين للوصول الرخيص لاستنزاف موارد الحوسبة لدى شخص آخر.
لماذا تُعد كلمات المرور الضعيفة والنسخ المكشوفة نقطة الدخول
لا شيء في هذا الهجوم يعتمد على ثغرة يوم-صفر متطورة. إنه يعتمد على كلمة مرور يمكن تخمينها. فالهجوم بالقوة الغاشمة، أي تجربة العديد من كلمات المرور حتى تنجح إحداها، ينجح ضد الحسابات ذات بيانات الاعتماد البسيطة أو المعاد استخدامها، وهو أكثر فعالية بكثير عندما تكون قاعدة البيانات قابلة للوصول من الإنترنت.
هناك شرطان يجعلان الخادم هدفًا سهلًا:
- بيانات اعتماد ضعيفة أو افتراضية على حسابات قاعدة البيانات، وخاصة الحسابات ذات الامتيازات العالية.
- التعرض للإنترنت، مما يتيح لأي شخص محاولة تسجيل الدخول على نطاق واسع دون أن يكون داخل الشبكة أصلًا.
أزِل أيًا من هذين الشرطين وستصبح مهمة المهاجم أصعب بكثير. أزِل كليهما ويُغلق مسار هذا الهجوم تحديدًا إلى حد كبير.
ماذا يعني هذا بالنسبة لك
إذا كنت تشغّل Microsoft SQL Server، سواء لتطبيق أعمال أو نظام نقاط بيع أو أداة داخلية صغيرة، فهذا تذكير بأن قواعد البيانات غالبًا ما تُعد مرة واحدة ثم تُنسى. فالنسخة المهملة ذات كلمة المرور البسيطة هي بالضبط ما تبحث عنه هذه الحملات.
إذا لم تكن مسؤولًا، فإن الخلاصة لا تزال ذات صلة. فالخدمات التي تستخدمها تعتمد على قواعد بيانات كهذه، ويمكن أن يؤدي الاختراق إلى اختطاف الأداء وكشف البيانات. اسأل مزوّد تكنولوجيا المعلومات أو المورّد لديك عن كيفية تقييد الوصول إلى قاعدة البيانات ومراقبته.
قائمة تحقق أمنية للمسؤولين والشركات الصغيرة
استخدم هذه القائمة كنقطة انطلاق لتحصين SQL Server ضد هذا النوع من الهجمات:
- ابحث عن نسخك المكشوفة. تحقق مما إذا كان أي SQL Server قابلًا للوصول من الإنترنت. إذا لم يكن بحاجة إلى ذلك، فاحجبه عند جدار الحماية.
- بدّل بيانات الاعتماد الآن. استبدل كلمات المرور الضعيفة أو الافتراضية أو المعاد استخدامها، بدءًا من حسابات مستوى المسؤول. استخدم عبارات مرور طويلة وفريدة.
- حدّد من يمكنه الاتصال. اسمح بالوصول فقط من عناوين موثوقة محددة، أو اشترط استخدام VPN أو اتصال خاص مماثل للإدارة عن بُعد.
- طبّق أقل امتياز. امنح التطبيقات والمستخدمين فقط الأذونات التي يحتاجونها، وعطّل ميزات قاعدة البيانات التي لا تستخدمها.
- راقب علامات التحذير. محاولات تسجيل الدخول الفاشلة المتكررة، والحسابات الجديدة غير المتوقعة، وارتفاعات وحدة المعالجة المركزية غير المبررة، والعمليات غير المألوفة على خادم قاعدة البيانات، كلها تستحق التحقيق.
- أبقِ الأنظمة محدّثة ومراقبة. شغّل حماية نقاط النهاية على الخادم وأبقِ Windows وSQL Server محدّثين بالتصحيحات.
- راجع النسخ الاحتياطية. تأكد من وجود نسخ احتياطية نظيفة وغير متصلة بالإنترنت حتى تتمكن من إعادة بناء الخادم إذا تعرض للاختراق.
الخلاصة
ينجح هذا الهجوم Gh0st RAT على Microsoft SQL Server بسبب التعرض الأساسي، وليس بسبب حيل متقدمة، مما يعني أيضًا أنه قابل للمنع إلى حد كبير. دقّق في نسخ SQL Server القابلة للوصول من الإنترنت، وبدّل بيانات الاعتماد الضعيفة اليوم، وقيّد الوصول إلى ما هو ضروري فقط. للحصول على نظرة أوسع حول كيفية استغلال المهاجمين للوصول الرخيص لسرقة قوة الحوسبة، اقرأ تقريرنا عن اختراق Railway وقيمته 1.1 مليون دولار من حوسبة الذكاء الاصطناعي المسروقة.
