Ein neuer Bericht beschreibt einen Microsoft SQL Server Gh0st RAT-Angriff, bei dem Hacker schwache Datenbankpasswörter ins Visier nehmen und dann die Funktionen der Datenbank selbst nutzen, um Malware auf Windows-Servern auszuführen. Die Payloads sind ein Monero-Kryptowährungs-Miner und Gh0st RAT, ein Remote-Access-Trojaner. Die Kombination verwandelt eine schlecht geschützte Datenbank sowohl in eine Geldmaschine für den Angreifer als auch in ein Fenster in das Netzwerk des Opfers.
Der Quellbericht ist kurz, daher beschränkt sich dieser Artikel auf das, was er aussagt: Die Angreifer zielen auf schwache Microsoft SQL Server-Passwörter ab und nutzen Datenbankfunktionen, um ihre Malware auszuführen. Die praktischen Lehren sind jedoch klar und gelten für jede Organisation, die SQL Server betreibt.
Wie Angreifer SQL Server in einen Malware-Starter verwandeln
Der Angriff beginnt mit Raten. Laut dem Bericht zielen die Hacker auf Server ab, die durch schwache Passwörter geschützt sind. Sobald sie Zugang erhalten, müssen sie keine exotische Schwachstelle ausnutzen. Stattdessen verwenden sie Funktionen, die Teil der Datenbank selbst sind, um Malware auf der zugrunde liegenden Windows-Maschine auszuführen.
Das macht die Technik verständniswert. Ein Datenbankserver ist dafür gedacht, Befehle auszuführen und Dateien im Auftrag von Administratoren und Anwendungen zu verarbeiten. Wenn ein Angreifer gültige Anmeldedaten besitzt, kann diese legitime Funktionalität zum Starten von Programmen umfunktioniert werden. Da die Aktivität über einen vertrauenswürdigen Dienst läuft, kann sie weniger verdächtig erscheinen als ein typischer Malware-Download.
Was Gh0st RAT und der Monero-Miner nach der Installation tun
Die beiden Payloads verfolgen unterschiedliche Ziele.
Der Monero-Miner dient der Ressourcenübernahme. Er nutzt die Rechenleistung des Servers, um Kryptowährung für den Angreifer zu schürfen, während das Opfer die Stromkosten zahlt und die Verlangsamungen hinnehmen muss. Ein Datenbankserver, der plötzlich heiß läuft oder träge wird, kann ein Anzeichen für diese Art von Missbrauch sein.
Gh0st RAT dient dem Zugang. Es ist ein Remote-Access-Trojaner, eine Art von Malware, die einem Angreifer die Fernsteuerung einer infizierten Windows-Maschine ermöglicht. Fernzugriffswerkzeuge dieser Art werden im Allgemeinen für Überwachung und Datendiebstahl eingesetzt, was auf einem Server von Bedeutung ist, der möglicherweise in der Nähe sensibler Geschäftsdaten steht.
Zusammen zeigen die Payloads, wie Angreifer eine Kompromittierung sofort durch Mining monetarisieren können, während sie durch den Trojaner einen langfristigen Fußabdruck behalten. Ressourcendiebstahl dieser Art ist nicht einzigartig für Mining-Malware; unsere Berichterstattung über den Railway-Hack, bei dem 1,1 Mio. USD an KI-Rechenleistung über gefälschte Konten gestohlen wurden, zeigt ein ähnliches Muster, bei dem Angreifer billigen Zugang ausnutzen, um die Rechenressourcen anderer zu verbrauchen.
Warum schwache Passwörter und exponierte Instanzen der Einstiegspunkt sind
Nichts an diesem Angriff hängt von einer ausgeklügelten Zero-Day-Schwachstelle ab. Er hängt von einem Passwort ab, das erraten werden kann. Brute-Forcing, das Ausprobieren vieler Passwörter bis eines funktioniert, ist erfolgreich gegen Konten mit einfachen oder wiederverwendeten Anmeldedaten, und es ist weitaus effektiver, wenn die Datenbank aus dem Internet erreichbar ist.
Zwei Bedingungen machen einen Server zu einem leichten Ziel:
- Schwache oder Standard-Anmeldedaten für Datenbankkonten, insbesondere für hochprivilegierte.
- Exposition gegenüber dem Internet, die es jedem ermöglicht, Anmeldeversuche in großem Umfang zu unternehmen, ohne bereits im Netzwerk zu sein.
Entfernen Sie eine der beiden Bedingungen, und die Aufgabe des Angreifers wird deutlich schwieriger. Entfernen Sie beide, und dieser spezielle Angriffspfad schließt sich weitgehend.
Was das für Sie bedeutet
Wenn Sie Microsoft SQL Server betreiben, sei es für eine Geschäftsanwendung, ein Point-of-Sale-System oder ein kleines internes Tool, ist dies eine Erinnerung daran, dass Datenbanken oft einmal eingerichtet und dann vergessen werden. Eine vernachlässigte Instanz mit einem einfachen Passwort ist genau das, wonach diese Kampagnen suchen.
Wenn Sie kein Administrator sind, ist die Erkenntnis dennoch relevant. Die Dienste, die Sie nutzen, hängen von Datenbanken wie diesen ab, und eine Kompromittierung kann zu gekaperter Leistung und exponierten Daten führen. Fragen Sie Ihren IT-Anbieter oder Hersteller, wie der Datenbankzugang eingeschränkt und überwacht wird.
Sicherheits-Checkliste für Administratoren und kleine Unternehmen
Verwenden Sie diese Liste als Ausgangspunkt für die Härtung von SQL Server gegen diese Art von Angriff:
- Finden Sie Ihre exponierten Instanzen. Prüfen Sie, ob ein SQL Server aus dem Internet erreichbar ist. Wenn dies nicht nötig ist, blockieren Sie ihn an der Firewall.
- Rotieren Sie jetzt die Anmeldedaten. Ersetzen Sie schwache, Standard- oder wiederverwendete Passwörter, beginnend mit Konten auf Administratorebene. Verwenden Sie lange, einzigartige Passphrasen.
- Beschränken Sie, wer sich verbinden kann. Erlauben Sie den Zugang nur von bestimmten vertrauenswürdigen Adressen oder verlangen Sie ein VPN oder eine ähnliche private Verbindung für die Fernverwaltung.
- Wenden Sie das Prinzip der geringsten Rechte an. Geben Sie Anwendungen und Benutzern nur die Berechtigungen, die sie benötigen, und deaktivieren Sie Datenbankfunktionen, die Sie nicht verwenden.
- Achten Sie auf Warnsignale. Wiederholte fehlgeschlagene Anmeldungen, unerwartete neue Konten, unerklärliche CPU-Spitzen und unbekannte Prozesse auf einem Datenbankserver verdienen alle eine Untersuchung.
- Halten Sie Systeme aktuell und überwacht. Führen Sie Endpoint-Schutz auf dem Server aus und halten Sie Windows und SQL Server gepatcht.
- Überprüfen Sie Backups. Stellen Sie sicher, dass Sie saubere, Offline-Backups haben, damit Sie einen Server wiederherstellen können, falls er kompromittiert wird.
Das Fazit
Dieser Microsoft SQL Server Gh0st RAT-Angriff ist erfolgreich wegen grundlegender Exposition, nicht wegen fortgeschrittener Tricks, was auch bedeutet, dass er weitgehend vermeidbar ist. Prüfen Sie, welche SQL Server-Instanzen aus dem Internet erreichbar sind, rotieren Sie heute schwache Anmeldedaten und beschränken Sie den Zugang auf das Notwendige. Für einen breiteren Blick darauf, wie Angreifer billigen Zugang ausnutzen, um Rechenleistung zu stehlen, lesen Sie unseren Bericht über den Railway-Hack und seine 1,1 Mio. USD an gestohlener KI-Rechenleistung.
