Un nuevo informe describe un ataque de Gh0st RAT a Microsoft SQL Server en el que los hackers se dirigen a contraseñas de bases de datos débiles y luego utilizan las propias características de la base de datos para ejecutar malware en servidores Windows. Los payloads son un minero de criptomoneda Monero y Gh0st RAT, un troyano de acceso remoto. La combinación convierte una base de datos mal protegida en una máquina de hacer dinero para el atacante y en una ventana hacia la red de la víctima.
El informe original es breve, por lo que este artículo se ciñe a lo que afirma: los atacantes van tras contraseñas débiles de Microsoft SQL Server y se apoyan en la funcionalidad de la base de datos para ejecutar su malware. Las lecciones prácticas, sin embargo, son claras y aplicables a cualquier organización que utilice SQL Server.
Cómo los atacantes convierten SQL Server en un lanzador de malware
El ataque comienza con adivinanzas. Según el informe, los hackers se dirigen a servidores protegidos por contraseñas débiles. Una vez que entran, no necesitan explotar una vulnerabilidad exótica. En su lugar, utilizan características que forman parte de la propia base de datos para ejecutar malware en la máquina Windows subyacente.
Esto es lo que hace que la técnica merezca ser comprendida. Un servidor de base de datos está diseñado para ejecutar comandos y manejar archivos en nombre de administradores y aplicaciones. Cuando un atacante posee credenciales válidas, esa funcionalidad legítima puede orientarse a lanzar programas. Como la actividad se ejecuta a través de un servicio de confianza, puede parecer menos sospechosa que una descarga de malware típica.
Qué hacen Gh0st RAT y el minero de Monero una vez instalados
Los dos payloads persiguen objetivos distintos.
El minero de Monero se centra en el secuestro de recursos. Utiliza la potencia de procesamiento del servidor para minar criptomonedas para el atacante, mientras la víctima paga la electricidad y absorbe las ralentizaciones. Un servidor de base de datos que de repente se calienta o se vuelve lento puede ser una señal de este tipo de abuso.
Gh0st RAT se centra en el acceso. Es un troyano de acceso remoto, un tipo de malware que otorga al atacante control remoto de una máquina Windows infectada. Las herramientas de acceso remoto de este tipo se utilizan generalmente para vigilancia y robo de datos, lo cual es relevante en un servidor que puede estar cerca de registros empresariales sensibles.
Juntos, los payloads muestran cómo los atacantes pueden monetizar un compromiso de inmediato mediante la minería mientras mantienen una posición a largo plazo a través del troyano. El robo de recursos de este tipo no es exclusivo del malware minero; nuestra cobertura del hackeo de Railway, donde se robaron $1.1M en computación de IA mediante cuentas falsas, muestra un patrón similar de atacantes que explotan el acceso barato para consumir los recursos informáticos de otra persona.
Por qué las contraseñas débiles y las instancias expuestas son el punto de entrada
Nada en este ataque depende de un zero-day sofisticado. Depende de una contraseña que se puede adivinar. La fuerza bruta, probar muchas contraseñas hasta que una funcione, tiene éxito contra cuentas con credenciales simples o reutilizadas, y es mucho más efectiva cuando la base de datos es accesible desde internet.
Dos condiciones convierten a un servidor en un objetivo fácil:
- Credenciales débiles o predeterminadas en cuentas de base de datos, especialmente las de altos privilegios.
- Exposición a internet, que permite a cualquiera intentar inicios de sesión a gran escala sin estar ya dentro de la red.
Elimina cualquiera de las dos y el trabajo del atacante se vuelve mucho más difícil. Elimina ambas y esta ruta de ataque en particular se cierra en gran medida.
Qué significa esto para ti
Si administras Microsoft SQL Server, ya sea para una aplicación empresarial, un sistema de punto de venta o una pequeña herramienta interna, esto es un recordatorio de que las bases de datos a menudo se configuran una vez y luego se olvidan. Una instancia descuidada con una contraseña simple es exactamente lo que buscan estas campañas.
Si no eres administrador, la conclusión sigue siendo relevante. Los servicios que utilizas dependen de bases de datos como estas, y un compromiso puede provocar un rendimiento secuestrado y datos expuestos. Pregunta a tu proveedor de TI o proveedor sobre cómo se restringe y monitorea el acceso a la base de datos.
Lista de verificación de seguridad para administradores y pequeñas empresas
Usa esta lista como punto de partida para fortalecer SQL Server contra este tipo de ataque:
- Encuentra tus instancias expuestas. Comprueba si algún SQL Server es accesible desde internet. Si no necesita serlo, bloquéalo en el firewall.
- Rota las credenciales ahora. Reemplaza las contraseñas débiles, predeterminadas o reutilizadas, empezando por las cuentas de nivel administrador. Usa frases de contraseña largas y únicas.
- Limita quién puede conectarse. Permite el acceso solo desde direcciones de confianza específicas, o exige una VPN o una conexión privada similar para la administración remota.
- Aplica el principio de mínimo privilegio. Da a las aplicaciones y usuarios solo los permisos que necesitan, y desactiva las características de la base de datos que no uses.
- Vigila las señales de advertencia. Los inicios de sesión fallidos repetidos, las cuentas nuevas inesperadas, los picos de CPU inexplicables y los procesos desconocidos en un servidor de base de datos merecen investigación.
- Mantén los sistemas actualizados y monitoreados. Ejecuta protección de endpoint en el servidor y mantén Windows y SQL Server parcheados.
- Revisa las copias de seguridad. Asegúrate de tener copias de seguridad limpias y sin conexión para poder reconstruir un servidor si se ve comprometido.
La conclusión
Este ataque de Gh0st RAT a Microsoft SQL Server tiene éxito debido a la exposición básica, no a trucos avanzados, lo que también significa que es en gran medida prevenible. Audita qué instancias de SQL Server son accesibles desde internet, rota las credenciales débiles hoy mismo y restringe el acceso solo a lo necesario. Para una visión más amplia de cómo los atacantes explotan el acceso barato para robar potencia informática, lee nuestro informe sobre el hackeo de Railway y sus $1.1M en computación de IA robada.
