Μια νέα αναφορά περιγράφει μια επίθεση Gh0st RAT σε Microsoft SQL Server, στην οποία οι χάκερ στοχεύουν αδύναμους κωδικούς πρόσβασης βάσεων δεδομένων και στη συνέχεια χρησιμοποιούν τις ίδιες τις λειτουργίες της βάσης δεδομένων για να εκτελέσουν κακόβουλο λογισμικό σε διακομιστές Windows. Τα payloads είναι ένας miner κρυπτονομίσματος Monero και το Gh0st RAT, ένα trojan απομακρυσμένης πρόσβασης. Ο συνδυασμός μετατρέπει μια ανεπαρκώς προστατευμένη βάση δεδομένων τόσο σε μηχανή παραγωγής χρημάτων για τον επιτιθέμενο όσο και σε παράθυρο στο δίκτυο του θύματος.
Η αναφορά πηγής είναι σύντομη, επομένως αυτό το άρθρο περιορίζεται σε ό,τι αναφέρει: οι επιτιθέμενοι στοχεύουν αδύναμους κωδικούς πρόσβασης Microsoft SQL Server και βασίζονται στη λειτουργικότητα της βάσης δεδομένων για να εκτελέσουν το κακόβουλο λογισμικό τους. Τα πρακτικά διδάγματα, ωστόσο, είναι σαφή και ισχύουν για κάθε οργανισμό που εκτελεί SQL Server.
Πώς οι επιτιθέμενοι μετατρέπουν τον SQL Server σε εκτοξευτήρα κακόβουλου λογισμικού
Η επίθεση ξεκινά με μαντεψιά. Σύμφωνα με την αναφορά, οι χάκερ στοχεύουν διακομιστές που προστατεύονται από αδύναμους κωδικούς πρόσβασης. Μόλις αποκτήσουν πρόσβαση, δεν χρειάζεται να εκμεταλλευτούν κάποια εξωτική αδυναμία. Αντίθετα, χρησιμοποιούν λειτουργίες που αποτελούν μέρος της ίδιας της βάσης δεδομένων για να θέσουν σε λειτουργία κακόβουλο λογισμικό στο υποκείμενο μηχάνημα Windows.
Αυτό είναι που κάνει την τεχνική άξια κατανόησης. Ένας διακομιστής βάσης δεδομένων είναι φτιαγμένος για να εκτελεί εντολές και να χειρίζεται αρχεία εκ μέρους διαχειριστών και εφαρμογών. Όταν ένας επιτιθέμενος κατέχει έγκυρα διαπιστευτήρια, αυτή η νόμιμη λειτουργικότητα μπορεί να στραφεί προς την εκκίνηση προγραμμάτων. Επειδή η δραστηριότητα εκτελείται μέσω μιας έμπιστης υπηρεσίας, μπορεί να φαίνεται λιγότερο ύποπτη από μια τυπική λήψη κακόβουλου λογισμικού.
Τι κάνουν το Gh0st RAT και ο miner Monero μόλις εγκατασταθούν
Τα δύο payloads εξυπηρετούν διαφορετικούς σκοπούς.
Ο miner Monero αφορά την κατάληψη πόρων. Χρησιμοποιεί την υπολογιστική ισχύ του διακομιστή για να εξορύσσει κρυπτονόμισμα για τον επιτιθέμενο, ενώ το θύμα πληρώνει το ρεύμα και υφίσταται τις επιβραδύνσεις. Ένας διακομιστής βάσης δεδομένων που ξαφνικά υπερθερμαίνεται ή γίνεται νωθρός μπορεί να είναι σημάδι αυτού του είδους κατάχρησης.
Το Gh0st RAT αφορά την πρόσβαση. Είναι ένα trojan απομακρυσμένης πρόσβασης, ένας τύπος κακόβουλου λογισμικού που δίνει σε έναν επιτιθέμενο τον απομακρυσμένο έλεγχο ενός μολυσμένου μηχανήματος Windows. Εργαλεία απομακρυσμένης πρόσβασης αυτού του είδους χρησιμοποιούνται γενικά για παρακολούθηση και κλοπή δεδομένων, κάτι που έχει σημασία σε έναν διακομιστή που μπορεί να βρίσκεται κοντά σε ευαίσθητα επιχειρηματικά αρχεία.
Μαζί, τα payloads δείχνουν πώς οι επιτιθέμενοι μπορούν να monetize μια παραβίαση αμέσως με εξόρυξη, ενώ διατηρούν ένα μακροπρόθεσμο πάτημα μέσω του trojan. Η κλοπή πόρων αυτού του είδους δεν είναι μοναδική για κακόβουλο λογισμικό εξόρυξης· η κάλυψή μας για το Railway hack, όπου $1.1M σε AI computing κλάπηκαν μέσω ψεύτικων λογαριασμών, δείχνει ένα παρόμοιο μοτίβο επιτιθέμενων που εκμεταλλεύονται φθηνή πρόσβαση για να καταναλώσουν τους υπολογιστικούς πόρους κάποιου άλλου.
Γιατί οι αδύναμοι κωδικοί πρόσβασης και οι εκτεθειμένες instancess είναι το σημείο εισόδου
Τίποτα σε αυτή την επίθεση δεν εξαρτάται από ένα εξελιγμένο zero-day. Εξαρτάται από έναν κωδικό πρόσβασης που μπορεί να μαντευτεί. Το brute-forcing, δηλαδή η δοκιμή πολλών κωδικών πρόσβασης μέχρι ένας να λειτουργήσει, πετυχαίνει σε λογαριασμούς με απλά ή επαναχρησιμοποιημένα διαπιστευτήρια, και είναι πολύ πιο αποτελεσματικό όταν η βάση δεδομένων είναι προσβάσιμη από το διαδίκτυο.
Δύο συνθήκες κάνουν έναν διακομιστή εύκολο στόχο:
- Αδύναμα ή προεπιλεγμένα διαπιστευτήρια σε λογαριασμούς βάσης δεδομένων, ειδικά σε αυτούς με υψηλά προνόμια.
- Έκθεση στο διαδίκτυο, που επιτρέπει σε οποιονδήποτε να επιχειρεί συνδέσεις σε κλίμακα χωρίς να βρίσκεται ήδη μέσα στο δίκτυο.
Αφαιρέστε οποιοδήποτε από τα δύο και η δουλειά του επιτιθέμενου γίνεται πολύ δυσκολότερη. Αφαιρέστε και τα δύο και αυτή η συγκεκριμένη διαδρομή επίθεσης κλείνει σε μεγάλο βαθμό.
Τι σημαίνει αυτό για εσάς
Αν εκτελείτε Microsoft SQL Server, είτε για μια επιχειρηματική εφαρμογή, είτε για ένα σύστημα point-of-sale, είτε για ένα μικρό εσωτερικό εργαλείο, αυτό είναι μια υπενθύμιση ότι οι βάσεις δεδομένων συχνά ρυθμίζονται μία φορά και μετά ξεχνιούνται. Μια παραμελημένη instancess με έναν απλό κωδικό πρόσβασης είναι ακριβώς αυτό που αναζητούν αυτές οι καμπάνιες.
Αν δεν είστε διαχειριστής, το συμπέρασμα παραμένει σχετικό. Οι υπηρεσίες που χρησιμοποιείτε εξαρτώνται από βάσεις δεδομένων όπως αυτές, και μια παραβίαση μπορεί να οδηγήσει σε υποκλοπή της απόδοσης και έκθεση δεδομένων. Ρωτήστε τον πάροχο IT ή τον προμηθευτή σας πώς περιορίζεται και παρακολουθείται η πρόσβαση στη βάση δεδομένων.
Λίστα ελέγχου ασφαλείας για διαχειριστές και μικρές επιχειρήσεις
Χρησιμοποιήστε αυτή τη λίστα ως σημείο εκκίνησης για την ενίσχυση του SQL Server έναντι αυτού του είδους επίθεσης:
- Βρείτε τις εκτεθειμένες instancess σας. Ελέγξτε αν οποιοσδήποτε SQL Server είναι προσβάσιμος από το διαδίκτυο. Αν δεν χρειάζεται να είναι, αποκλείστε τον στο firewall.
- Αλλάξτε τα διαπιστευτήρια τώρα. Αντικαταστήστε αδύναμους, προεπιλεγμένους ή επαναχρησιμοποιημένους κωδικούς πρόσβασης, ξεκινώντας από λογαριασμούς επιπέδου διαχειριστή. Χρησιμοποιήστε μεγάλες, μοναδικές φράσεις πρόσβασης.
- Περιορίστε ποιοι μπορούν να συνδεθούν. Επιτρέψτε πρόσβαση μόνο από συγκεκριμένες έμπιστες διευθύνσεις ή απαιτήστε VPN ή παρόμοια ιδιωτική σύνδεση για απομακρυσμένη διαχείριση.
- Εφαρμόστε ελάχιστα προνόμια. Δώστε σε εφαρμογές και χρήστες μόνο τα δικαιώματα που χρειάζονται και απενεργοποιήστε λειτουργίες βάσης δεδομένων που δεν χρησιμοποιείτε.
- Προσέξτε για προειδοποιητικά σημάδια. Επανειλημμένες αποτυχημένες συνδέσεις, απροσδόκητοι νέοι λογαριασμοί, ανεξήγητες αιχμές CPU και άγνωστες διεργασίες σε έναν διακομιστή βάσης δεδομένων αξίζουν διερεύνηση.
- Διατηρείτε τα συστήματα ενημερωμένα και παρακολουθούμενα. Εκτελέστε προστασία endpoint στον διακομιστή και διατηρείτε τα Windows και τον SQL Server ενημερωμένα με patches.
- Ελέγξτε τα αντίγραφα ασφαλείας. Βεβαιωθείτε ότι έχετε καθαρά, offline αντίγραφα ασφαλείας ώστε να μπορείτε να ανοικοδομήσετε έναν διακομιστή αν παραβιαστεί.
Η ουσία
Αυτή η επίθεση Gh0st RAT σε Microsoft SQL Server πετυχαίνει λόγω βασικής έκθεσης, όχι προηγμένης πονηριάς, που σημαίνει επίσης ότι είναι σε μεγάλο βαθμό προλήψιμη. Ελέγξτε ποιες instancess SQL Server είναι προσβάσιμες από το διαδίκτυο, αλλάξτε αδύναμα διαπιστευτήρια σήμερα και περιορίστε την πρόσβαση μόνο σε ό,τι είναι απαραίτητο. Για μια ευρύτερη ματιά στο πώς οι επιτιθέμενοι εκμεταλλεύονται φθηνή πρόσβαση για να κλέψουν υπολογιστική ισχύ, διαβάστε την αναφορά μας για το Railway hack και τα $1.1M σε κλεμμένο AI computing.
