Нов доклад описва атака с Gh0st RAT срещу Microsoft SQL Server, при която хакерите се насочват към слаби пароли за бази данни и след това използват собствените функции на базата данни, за да стартират зловреден софтуер на Windows сървъри. Полезният товар е Monero криптовалутен миньор и Gh0st RAT, троянски кон за отдалечен достъп. Комбинацията превръща една лошо защитена база данни едновременно в машина за печелене на пари за атакуващия и в прозорец към мрежата на жертвата.
Изходният доклад е кратък, затова тази статия се придържа към това, което той твърди: атакуващите се насочват към слаби пароли за Microsoft SQL Server и разчитат на функционалността на базата данни, за да изпълнят зловредния си софтуер. Практическите уроци обаче са ясни и се отнасят за всяка организация, която използва SQL Server.
Как атакуващите превръщат SQL Server в стартова платформа за зловреден софтуер
Атаката започва с отгатване. Според доклада хакерите се насочват към сървъри, защитени със слаби пароли. След като влязат, те не се нуждаят от експлоатиране на екзотична уязвимост. Вместо това използват функции, които са част от самата база данни, за да стартират зловреден софтуер на основната Windows машина.
Това прави техниката worth understanding. Сървърът за бази данни е предназначен да изпълнява команди и да обработва файлове от името на администратори и приложения. Когато атакуващият притежава валидни идентификационни данни, тази легитимна функционалност може да бъде насочена към стартиране на програми. Тъй като активността се извършва чрез доверена услуга, тя може да изглежда по-малко подозрителна от типично изтегляне на зловреден софтуер.
Какво правят Gh0st RAT и Monero миньорът след инсталиране
Двата полезни товара служат за различни цели.
Monero миньорът е за отвличане на ресурси. Той използва изчислителната мощ на сървъра, за да добива криптовалута за атакуващия, докато жертвата плаща електричеството и понася забавянията. Сървър за бази данни, който изведнъж работи на високи обороти или стане муден, може да е знак за такъв вид злоупотреба.
Gh0st RAT е за достъп. Той е троянски кон за отдалечен достъп, вид зловреден софтуер, който дава на атакуващия отдалечен контрол над заразена Windows машина. Инструментите за отдалечен достъп от този вид обикновено се използват за наблюдение и кражба на данни, което е от значение на сървър, който може да се намира близо до чувствителни бизнес записи.
Заедно полезните товари показват как атакуващите могат да монетизират компрометиране веднага чрез копаене, като същевременно поддържат дългосрочна позиция чрез троянския кон. Кражбата на ресурси от този вид не е уникална за зловреден софтуер за копаене; нашето отразяване на Railway хакването, при което $1.1M в AI изчисления бяха откраднати чрез фалшиви акаунти, показва подобен модел на атакуващи, експлоатиращи евтин достъп, за да изгорят изчислителните ресурси на някой друг.
Защо слабите пароли и изложените инстанции са входната точка
Нищо в тази атака не зависи от сложна zero-day уязвимост. Тя зависи от парола, която може да бъде отгатната. Brute-forcing, опитването на много пароли, докато една проработи, успява срещу акаунти с прости или преизползвани идентификационни данни и е много по-ефективно, когато базата данни е достъпна от интернет.
Две условия правят сървъра лесна мишена:
- Слаби или подразбиращи се идентификационни данни за акаунти в базата данни, особено тези с високи привилегии.
- Излагане на интернет, което позволява на всеки да опитва влизания в голям мащаб, без вече да е вътре в мрежата.
Премахнете едното и работата на атакуващия става много по-трудна. Премахнете и двете и този конкретен път за атака до голяма степен се затваря.
Какво означава това за вас
Ако управлявате Microsoft SQL Server, било то за бизнес приложение, система за точки на продажба или малък вътрешен инструмент, това е напомняне, че базите данни често се настройват веднъж и след това се забравят. Занемарена инстанция с проста парола е точно това, което тези кампании търсят.
Ако не сте администратор, изводът все още е от значение. Услугите, които използвате, зависят от бази данни като тези, и компрометирането може да доведе до отвлечена производителност и изложени данни. Попитайте вашия IT доставчик или vendor как е ограничен и наблюдаван достъпът до базата данни.
Контролен списък за сигурност за администратори и малки бизнеси
Използвайте този списък като отправна точка за укрепване на SQL Server срещу този вид атака:
- Намерете вашите изложени инстанции. Проверете дали някой SQL Server е достъпен от интернет. Ако не е необходимо, блокирайте го на firewall.
- Сменете идентификационните данни сега. Заменете слабите, подразбиращи се или преизползвани пароли, като започнете с акаунти на администраторско ниво. Използвайте дълги, уникални паролни фрази.
- Ограничете кой може да се свързва. Разрешавайте достъп само от конкретни доверени адреси или изисквайте VPN или подобна частна връзка за отдалечено администриране.
- Прилагайте най-малки привилегии. Давайте на приложенията и потребителите само разрешенията, от които се нуждаят, и деактивирайте функции на базата данни, които не използвате.
- Следете за предупредителни знаци. Повтарящи се неуспешни влизания, неочаквани нови акаунти, необясними скокове на CPU и непознати процеси на сървър за бази данни — всички те заслужават разследване.
- Поддържайте системите актуализирани и наблюдавани. Стартирайте endpoint защита на сървъра и поддържайте Windows и SQL Server с приложени пачове.
- Прегледайте резервните копия. Уверете се, че имате чисти офлайн резервни копия, за да можете да възстановите сървър, ако бъде компрометиран.
Заключение
Тази атака с Gh0st RAT срещу Microsoft SQL Server успява заради основно излагане, а не заради напреднали хитрости, което също означава, че е до голяма степен предотвратима. Одитирайте кои SQL Server инстанции са достъпни от интернет, сменете слабите идентификационни данни още днес и ограничете достъпа само до необходимото. За по-широк поглед върху това как атакуващите експлоатират евтин достъп, за да откраднат изчислителна мощ, прочетете нашия доклад за Railway хакването и неговите $1.1M откраднати AI изчисления.
