En ny rapport beskriver et Microsoft SQL Server Gh0st RAT-angreb, hvor hackere målretter sig mod svage databaseadgangskoder og derefter bruger databasens egne funktioner til at køre malware på Windows-servere. Payloadene er en Monero-kryptovalutaminer og Gh0st RAT, en remote access trojan. Kombinationen gør én dårligt beskyttet database til både en pengemaskine for angriberen og et vindue ind i offerets netværk.
Kilderapporten er kort, så denne artikel holder sig til det, den oplyser: angriberne går efter svage Microsoft SQL Server-adgangskoder, og de læner sig op ad databasefunktionalitet for at udføre deres malware. De praktiske læringer er dog klare og gælder for enhver organisation, der kører SQL Server.
Sådan forvandler angribere SQL Server til en malware-opsendelsesplatform
Angrebet starter med gætteri. Ifølge rapporten målretter hackerne sig mod servere, der er beskyttet af svage adgangskoder. Når de først er inde, behøver de ikke at udnytte en eksotisk sårbarhed. I stedet bruger de funktioner, der er en del af databasen selv, til at få malware til at køre på den underliggende Windows-maskine.
Det er det, der gør teknikken værd at forstå. En databaseserver er beregnet til at udføre kommandoer og håndtere filer på vegne af administratorer og applikationer. Når en angriber har gyldige legitimationsoplysninger, kan den legitime funktionalitet vendes til at starte programmer. Fordi aktiviteten kører gennem en betroet tjeneste, kan den se mindre mistænkelig ud end en typisk malwaredownload.
Hvad Gh0st RAT og Monero-mineren gør, når de er installeret
De to payloads tjener forskellige formål.
Monero-mineren handler om ressourcekapring. Den bruger serverens regnekraft til at mine kryptovaluta for angriberen, mens offeret betaler strømregningen og mærker nedgangen i ydeevne. En databaseserver, der pludselig bliver varm eller sløv, kan være et tegn på denne form for misbrug.
Gh0st RAT handler om adgang. Det er en remote access trojan, en type malware, der giver en angriber fjernkontrol over en inficeret Windows-maskine. Fjernadgangsværktøjer af denne type bruges generelt til overvågning og datatyveri, hvilket er vigtigt på en server, der kan ligge tæt på følsomme forretningsdata.
Sammen viser payloadene, hvordan angribere kan tjene penge på et kompromis med det samme via mining, mens de bevarer et langsigtet fodfæste gennem trojanen. Denne form for ressourcetyveri er ikke unikt for mining-malware; vores dækning af Railway-hacket, hvor 1,1 mio. dollars i AI-regnekraft blev stjålet via falske konti, viser et lignende mønster, hvor angribere udnytter billig adgang til at brænde andres regnekraftressourcer af.
Hvorfor svage adgangskoder og eksponerede instanser er indgangspunktet
Intet i dette angreb afhænger af en sofistikeret zero-day. Det afhænger af en adgangskode, der kan gættes. Brute-forcing, hvor man prøver mange adgangskoder, indtil én virker, lykkes mod konti med enkle eller genbrugte legitimationsoplysninger, og det er langt mere effektivt, når databasen er tilgængelig fra internettet.
To betingelser gør en server til et let mål:
- Svage eller standardadgangskoder på databasekonti, især konti med høje privilegier.
- Eksponering mod internettet, som gør det muligt for enhver at forsøge at logge ind i stor skala uden allerede at være inde i netværket.
Fjern én af dem, og angriberens arbejde bliver meget sværere. Fjern begge, og denne specifikke angrebsvej lukkes stort set.
Hvad det betyder for dig
Hvis du kører Microsoft SQL Server, uanset om det er til en forretningsapplikation, et kassesystem eller et lille internt værktøj, er dette en påmindelse om, at databaser ofte sættes op én gang og derefter glemmes. En forsømt instans med en simpel adgangskode er præcis, hvad disse kampagner leder efter.
Hvis du ikke er administrator, er budskabet stadig relevant. De tjenester, du bruger, afhænger af databaser som disse, og et kompromis kan føre til kapret ydeevne og eksponerede data. Spørg din IT-udbyder eller leverandør, hvordan databaseadgang begrænses og overvåges.
Sikkerhedstjekliste for administratorer og små virksomheder
Brug denne liste som udgangspunkt for at hærde SQL Server mod denne type angreb:
- Find dine eksponerede instanser. Kontroller, om nogen SQL Server er tilgængelig fra internettet. Hvis den ikke behøver at være det, skal du blokere den i firewallen.
- Udskift legitimationsoplysninger nu. Erstat svage, standard- eller genbrugte adgangskoder, startende med konti på administratorniveau. Brug lange, unikke adgangssætninger.
- Begræns hvem der kan forbinde. Tillad kun adgang fra specifikke betroede adresser, eller kræv en VPN eller lignende privat forbindelse til fjernadministration.
- Anvend mindste privilegium. Giv applikationer og brugere kun de tilladelser, de har brug for, og deaktiver databasefunktioner, du ikke bruger.
- Hold øje med advarselstegn. Gentagne mislykkede logins, uventede nye konti, uforklarlige CPU-spidser og ukendte processer på en databaseserver fortjener alle at blive undersøgt.
- Hold systemer opdaterede og overvågede. Kør endpoint-beskyttelse på serveren, og hold Windows og SQL Server patchede.
- Gennemgå backup. Sørg for at have rene, offline-backups, så du kan genopbygge en server, hvis den kompromitteres.
Bundlinjen
Dette Microsoft SQL Server Gh0st RAT-angreb lykkes på grund af grundlæggende eksponering, ikke avanceret luskefidus, hvilket også betyder, at det i høj grad kan forebygges. Revider, hvilke SQL Server-instanser der er tilgængelige fra internettet, udskift svage legitimationsoplysninger i dag, og begræns adgang til kun det nødvendige. For et bredere kig på, hvordan angribere udnytter billig adgang til at stjæle regnekraft, kan du læse vores rapport om Railway-hacket og dets 1,1 mio. dollars i stjålet AI-regnekraft.
