Nová zpráva popisuje útok Gh0st RAT na Microsoft SQL Server, při kterém hackeři cílí na slabá hesla databází a poté využívají vlastní funkce databáze ke spuštění malwaru na Windows serverech. Payloady jsou Monero cryptocurrency miner a Gh0st RAT, trojan pro vzdálený přístup. Kombinace promění jednu špatně zabezpečenou databázi jak ve stroj na vydělávání peněz pro útočníka, tak v okno do sítě oběti.

Zdrojová zpráva je stručná, takže tento článek se drží toho, co uvádí: útočníci jdou po slabých heslech Microsoft SQL Server a spoléhají na funkce databáze k provedení svého malwaru. Praktická ponaučení jsou však jasná a platí pro každou organizaci provozující SQL Server.

Jak útočníci promění SQL Server ve spouštěč malwaru

Útok začíná hádáním. Podle zprávy hackeři cílí na servery chráněné slabými hesly. Jakmile se dostanou dovnitř, nepotřebují zneužít žádnou exotickou zranitelnost. Místo toho využívají funkce, které jsou součástí samotné databáze, k tomu, aby dostali malware do chodu na podkladovém Windows stroji.

To je důvod, proč stojí za to technice porozumět. Databázový server má za úkol provádět příkazy a pracovat se soubory jménem administrátorů a aplikací. Když útočník drží platné přihlašovací údaje, tato legitimní funkčnost se dá obrátit ke spouštění programů. Protože aktivita probíhá prostřednictvím důvěryhodné služby, může působit méně podezřele než typické stahování malwaru.

Co Gh0st RAT a Monero miner dělají po instalaci

Oba payloady slouží různým cílům.

Monero miner se týká únosu prostředků. Využívá výpočetní výkon serveru k těžbě kryptoměny pro útočníka, zatímco oběť platí elektřinu a nese zpomalení. Databázový server, který náhle běží horký nebo vlažně, může být známkou tohoto druhu zneužití.

Gh0st RAT se týká přístupu. Je to trojan pro vzdálený přístup, typ malwaru, který dává útočníkovi vzdálenou kontrolu nad infikovaným Windows strojem. Nástroje vzdáleného přístupu tohoto druhu se obecně používají k sledování a krádeži dat, což je důležité na serveru, který může být blízko citlivým obchodním záznamům.

Dohromady payloady ukazují, jak útočníci mohou okamžitě monetizovat kompromitaci těžbou a zároveň si udržet dlouhodobou oporu prostřednictvím trojana. Krádež prostředků tohoto druhu není jedinečná pro těžební malware; naše pokrytí Railway hacku, kde bylo ukradeno 1,1 milionu dolarů v AI computingu prostřednictvím falešných účtů, ukazuje podobný vzorec útočníků zneužívajících levný přístup k vypálení výpočetních prostředků někoho jiného.

Proč jsou slabá hesla a vystavené instance vstupním bodem

Nic v tomto útoku nezávisí na sofistikovaném zero-day. Závisí na heslu, které lze uhodnout. Brute-forcing, zkoušení mnoha hesel, dokud jedno nefunguje, uspěje proti účtům s jednoduchými nebo znovu použitými přihlašovacími údaji, a je mnohem účinnější, když je databáze dostupná z internetu.

Dvě podmínky dělají ze serveru snadný cíl:

  • Slabé nebo výchozí přihlašovací údaje na databázových účtech, zejména těch s vysokými oprávněními.
  • Vystavení internetu, které umožňuje komukoli pokusit se o přihlášení ve velkém měřítku, aniž by už byl uvnitř sítě.

Odstraňte jednu z nich a úloha útočníka se stane mnohem těžší. Odstraňte obě a tato konkrétní cesta útoku se z velké části uzavře.

Co to znamená pro vás

Pokud provozujete Microsoft SQL Server, ať už pro obchodní aplikaci, pokladní systém nebo malý interní nástroj, toto je připomínka, že databáze jsou často nastaveny jednou a poté zapomenuty. Zanedbaná instance s jednoduchým heslem je přesně to, co tyto kampaně hledají.

Pokud nejste administrátor, závěr je stále relevantní. Služby, které používáte, závisí na databázích, jako jsou tyto, a kompromitace může vést k unesenému výkonu a odhaleným datům. Zeptejte se svého IT poskytovatele nebo dodavatele, jak je přístup k databázi omezen a monitorován.

Bezpečnostní kontrolní seznam pro administrátory a malé podniky

Použijte tento seznam jako výchozí bod pro zpevnění SQL Serveru proti tomuto druhu útoku:

  1. Najděte své vystavené instance. Zkontrolujte, zda je nějaký SQL Server dostupný z internetu. Pokud to není potřeba, zablokujte ho na firewallu.
  2. Okamžitě obměňte přihlašovací údaje. Nahraďte slabá, výchozí nebo znovu použitá hesla, počínaje účty na úrovni administrátora. Používejte dlouhé, jedinečné passphrase.
  3. Omezte, kdo se může připojit. Povolte přístup pouze z konkrétních důvěryhodných adres nebo vyžadujte VPN nebo podobné soukromé připojení pro vzdálenou administraci.
  4. Aplikujte nejmenší oprávnění. Dejte aplikacím a uživatelům pouze oprávnění, která potřebují, a zakažte databázové funkce, které nepoužíváte.
  5. Sledujte varovné signály. Opakované neúspěšné přihlášení, neočekávané nové účty, nevysvětlitelné skoky CPU a neznámé procesy na databázovém serveru si všechny zaslouží vyšetření.
  6. Udržujte systémy aktualizované a monitorované. Spouštějte ochranu koncových bodů na serveru a udržujte Windows a SQL Server záplatované.
  7. Zkontrolujte zálohy. Ujistěte se, že máte čisté, offline zálohy, abyste mohli server znovu postavit, pokud je kompromitován.

Spodní linie

Tento útok Gh0st RAT na Microsoft SQL Server uspěje kvůli základnímu vystavení, ne pokročilému triku, což také znamená, že je z velké části preventabilní. Proveďte audit, které instance SQL Serveru jsou dostupné z internetu, dnes obměňte slabé přihlašovací údaje a omezte přístup pouze na to, co je nezbytné. Pro širší pohled na to, jak útočníci zneužívají levný přístup ke krádeži výpočetního výkonu, si přečtěte naši zprávu o Railway hacku a jeho 1,1 milionu dolarů v ukradeném AI computingu.