Uusi raportti kuvaa Microsoft SQL Server -hyökkäystä, jossa hakkerit kohdistavat heikkoihin tietokannan salasanoihin ja käyttävät sitten tietokannan omia ominaisuuksia haittaohjelmien ajamiseen Windows-palvelimilla. Hyötykuormat ovat Monero-kryptovaluutan louhija ja Gh0st RAT, etähallintatroijalainen. Yhdistelmä muuttaa yhden heikosti suojatun tietokannan sekä hyökkääjän rahantekokoneeksi että ikkunaksi uhrin verkkoon.
Lähderaportti on lyhyt, joten tämä artikkeli pitäytyy siinä, mitä se kertoo: hyökkääjät tähtäävät heikkoihin Microsoft SQL Server -salasanoihin ja nojaavat tietokannan toimintoihin haittaohjelmiensa suorittamiseksi. Käytännön opetukset ovat kuitenkin selkeitä ja pätevät mihin tahansa organisaatioon, joka käyttää SQL Serveriä.
Miten hyökkääjät muuttavat SQL Serverin haittaohjelmien käynnistimeksi
Hyökkäys alkaa arvailemalla. Raportin mukaan hakkerit kohdistavat palvelimiin, joita suojataan heikoilla salasanoilla. Päästyään sisään heidän ei tarvitse hyödyntää eksoottista haavoittuvuutta. Sen sijaan he käyttävät tietokannan omia ominaisuuksia saadakseen haittaohjelman toimimaan taustalla olevalla Windows-koneella.
Juuri tämä tekee tekniikasta ymmärtämisen arvoisen. Tietokantapalvelin on tarkoitettu suorittamaan komentoja ja käsittelemään tiedostoja järjestelmänvalvojien ja sovellusten puolesta. Kun hyökkääjällä on kelvolliset tunnistetiedot, tuo laillinen toiminnallisuus voidaan kääntää ohjelmien käynnistämiseen. Koska toiminta kulkee luotetun palvelun kautta, se voi näyttää vähemmän epäilyttävältä kuin tyypillinen haittaohjelman lataus.
Mitä Gh0st RAT ja Monero-louhija tekevät asennettuna
Kahdella hyötykuormalla on eri tavoitteet.
Monero-louhija liittyy resurssien kaappaukseen. Se käyttää palvelimen laskentatehoa kryptovaluutan louhimiseen hyökkääjälle, kun taas uhri maksaa sähkön ja kärsii hidastumisesta. Tietokantapalvelin, joka yhtäkkiä käy kuumana tai hidastelee, voi olla merkki tällaisesta väärinkäytöstä.
Gh0st RAT liittyy pääsyyn. Se on etähallintatroijalainen, eräänlainen haittaohjelma, joka antaa hyökkääjälle etähallinnan infektoituun Windows-koneeseen. Tällaisia etäkäyttötyökaluja käytetään yleensä valvontaan ja tietovarkauksiin, millä on merkitystä palvelimella, joka saattaa sijaita lähellä arkaluontoisia liiketoimintatietoja.
Yhdessä hyötykuormat osoittavat, miten hyökkääjät voivat rahallistaa murron välittömästi louhinnalla säilyttäen samalla pitkäaikaisen jalansijan troijalaisen kautta. Tällainen resurssivarkaus ei ole ainutlaatuista louhintahaitoilta; käsittelymme Railway-hakkerointitapauksesta, jossa 1,1 miljoonan dollarin edestä AI-laskentaa varastettiin väärennettyjen tilien kautta, osoittaa samankaltaisen kaavan, jossa hyökkääjät hyödyntävät halpaa pääsyä polttaakseen jonkun toisen laskentaresursseja.
Miksi heikot salasanat ja paljastetut instanssit ovat sisäänkäynti
Mikään tässä hyökkäyksessä ei riipu kehittyneestä nollapäivähaavoittuvuudesta. Se riippuu salasanasta, joka voidaan arvata. Brute-force-hyökkäys, jossa kokeillaan monia salasanoja kunnes yksi toimii, onnistuu tilejä vastaan, joilla on yksinkertaiset tai uudelleenkäytetyt tunnistetiedot, ja se on paljon tehokkaampaa, kun tietokanta on saavutettavissa internetistä.
Kaksi ehtoa tekee palvelimesta helpon kohteen:
- Heikot tai oletustunnistetiedot tietokantatileillä, erityisesti erittäin etuoikeutetuilla.
- Altistuminen internetille, mikä antaa kenelle tahansa mahdollisuuden yrittää kirjautumisia laajassa mittakaavassa ilman, että on jo verkon sisällä.
Poista kumpi tahansa ja hyökkääjän työ vaikeutuu huomattavasti. Poista molemmat ja tämä hyökkäyspolku sulkeutuu suurelta osin.
Mitä tämä tarkoittaa sinulle
Jos ylläpidät Microsoft SQL Serveriä, olipa kyseessä liiketoimintasovellus, kassajärjestelmä tai pieni sisäinen työkalu, tämä on muistutus siitä, että tietokannat usein asennetaan kerran ja unohdetaan sitten. Laiminlyöty instanssi yksinkertaisella salasanalla on juuri sitä, mitä nämä kampanjat etsivät.
Jos et ole järjestelmänvalvoja, johtopäätös on silti relevantti. Käyttämäsi palvelut riippuvat tällaisista tietokannoista, ja murto voi johtaa kaapattuun suorituskykyyn ja paljastuneisiin tietoihin. Kysy IT-palveluntarjoajaltasi tai toimittajaltasi, miten tietokantakäyttöä rajoitetaan ja valvotaan.
Tietoturvan tarkistuslista järjestelmänvalvojille ja pienyrityksille
Käytä tätä luetteloa lähtökohtana SQL Serverin suojaamiseksi tämänkaltaiselta hyökkäykseltä:
- Löydä paljastetut instanssisi. Tarkista, onko jokin SQL Server saavutettavissa internetistä. Jos sen ei tarvitse olla, estä se palomuurissa.
- Vaihda tunnistetiedot nyt. Korvaa heikot, oletus- tai uudelleenkäytetyt salasanat aloittaen järjestelmänvalvojatason tileistä. Käytä pitkiä, ainutlaatuisia salalauseita.
- Rajoita, kuka voi yhdistää. Salli pääsy vain tietyistä luotetuista osoitteista tai vaadi VPN tai vastaava yksityinen yhteys etähallintaan.
- Sovella vähimmän oikeuden periaatetta. Anna sovelluksille ja käyttäjille vain tarvittavat oikeudet ja poista käytöstä tietokantaominaisuudet, joita et käytä.
- Tarkkaile varoitusmerkkejä. Toistuvat epäonnistuneet kirjautumiset, odottamattomat uudet tilit, selittämättömät suorittimen piikit ja tuntemattomat prosessit tietokantapalvelimella ansaitsevat kaikki tutkimisen.
- Pidä järjestelmät päivitettyinä ja valvottuina. Aja päätepistesuojausta palvelimella ja pidä Windows ja SQL Server paikattuina.
- Tarkista varmuuskopiot. Varmista, että sinulla on puhtaat, offline-varmuuskopiot, jotta voit rakentaa palvelimen uudelleen, jos se murretaan.
Lopputulos
Tämä Microsoft SQL Server -hyökkäys onnistuu perustason altistumisen, ei kehittyneen juonen ansiosta, mikä tarkoittaa myös, että se on suurelta osin ennaltaehkäistävissä. Auditoi, mitkä SQL Server -instanssit ovat saavutettavissa internetistä, vaihda heikot tunnistetiedot tänään ja rajoita pääsy vain tarpeelliseen. Laajemman katsauksen siihen, miten hyökkääjät hyödyntävät halpaa pääsyä laskentatehon varastamiseen, löydät raportistamme Railway-hakkerointitapauksesta ja sen 1,1 miljoonan dollarin varastetusta AI-laskennasta.
