Un nouveau rapport décrit une attaque Gh0st RAT contre Microsoft SQL Server dans laquelle des pirates ciblent des mots de passe de base de données faibles, puis utilisent les fonctionnalités propres à la base de données pour exécuter des logiciels malveillants sur des serveurs Windows. Les charges utiles sont un mineur de cryptomonnaie Monero et Gh0st RAT, un trojan d'accès à distance. La combinaison transforme une base de données mal protégée en machine à générer de l'argent pour l'attaquant et en fenêtre ouverte sur le réseau de la victime.
Le rapport source est bref, cet article s'en tient donc à ce qu'il indique : les attaquants s'en prennent aux mots de passe faibles de Microsoft SQL Server et s'appuient sur les fonctionnalités de la base de données pour exécuter leurs logiciels malveillants. Les leçons pratiques, cependant, sont claires et s'appliquent à toute organisation exploitant SQL Server.
Comment les attaquants transforment SQL Server en lanceur de logiciels malveillants
L'attaque commence par des suppositions. Selon le rapport, les pirates ciblent des serveurs protégés par des mots de passe faibles. Une fois entrés, ils n'ont pas besoin d'exploiter une faille exotique. Ils utilisent plutôt des fonctionnalités qui font partie de la base de données elle-même pour faire tourner des logiciels malveillants sur la machine Windows sous-jacente.
C'est ce qui rend cette technique digne d'intérêt. Un serveur de base de données est censé exécuter des commandes et gérer des fichiers pour le compte d'administrateurs et d'applications. Lorsqu'un attaquant détient des identifiants valides, cette fonctionnalité légitime peut être détournée pour lancer des programmes. Comme l'activité passe par un service de confiance, elle peut paraître moins suspecte qu'un téléchargement de logiciel malveillant classique.
Ce que font Gh0st RAT et le mineur de Monero une fois installés
Les deux charges utiles servent des objectifs différents.
Le mineur de Monero relève du détournement de ressources. Il utilise la puissance de calcul du serveur pour miner de la cryptomonnaie au profit de l'attaquant, tandis que la victime paie l'électricité et subit les ralentissements. Un serveur de base de données qui chauffe ou ralentit soudainement peut être le signe de ce type d'abus.
Gh0st RAT relève de l'accès. C'est un trojan d'accès à distance, un type de logiciel malveillant qui donne à un attaquant le contrôle à distance d'une machine Windows infectée. Les outils d'accès à distance de ce type sont généralement utilisés à des fins de surveillance et de vol de données, ce qui compte sur un serveur qui peut se trouver à proximité de données commerciales sensibles.
Ensemble, les charges utiles montrent comment les attaquants peuvent monétiser une compromission immédiatement grâce au minage tout en conservant un point d'ancrage à long terme grâce au trojan. Le vol de ressources de ce type n'est pas propre aux logiciels malveillants de minage ; notre couverture du piratage de Railway, où 1,1 M$ de calcul IA ont été dérobés via de faux comptes, montre un schéma similaire d'attaquants exploitant un accès bon marché pour consumer les ressources informatiques de quelqu'un d'autre.
Pourquoi les mots de passe faibles et les instances exposées constituent le point d'entrée
Rien dans cette attaque ne dépend d'une vulnérabilité zero-day sophistiquée. Tout dépend d'un mot de passe qui peut être deviné. Le brute-forcing, c'est-à-dire l'essai de nombreux mots de passe jusqu'à ce que l'un fonctionne, réussit contre les comptes dont les identifiants sont simples ou réutilisés, et il est bien plus efficace lorsque la base de données est accessible depuis Internet.
Deux conditions font d'un serveur une cible facile :
- Des identifiants faibles ou par défaut sur les comptes de base de données, en particulier ceux à hauts privilèges.
- L'exposition à Internet, qui permet à quiconque de tenter des connexions à grande échelle sans être déjà à l'intérieur du réseau.
Supprimez l'une ou l'autre et la tâche de l'attaquant devient beaucoup plus difficile. Supprimez les deux et ce chemin d'attaque particulier se referme largement.
Ce que cela signifie pour vous
Si vous exploitez Microsoft SQL Server, que ce soit pour une application métier, un système de point de vente ou un petit outil interne, c'est un rappel que les bases de données sont souvent configurées une fois puis oubliées. Une instance négligée avec un mot de passe simple est exactement ce que ces campagnes recherchent.
Si vous n'êtes pas administrateur, la leçon reste pertinente. Les services que vous utilisez reposent sur des bases de données comme celles-ci, et une compromission peut entraîner un détournement des performances et une exposition des données. Demandez à votre prestataire informatique ou à votre fournisseur comment l'accès aux bases de données est restreint et surveillé.
Liste de contrôle de sécurité pour les administrateurs et les petites entreprises
Utilisez cette liste comme point de départ pour renforcer SQL Server contre ce type d'attaque :
- Identifiez vos instances exposées. Vérifiez si un SQL Server est accessible depuis Internet. Si ce n'est pas nécessaire, bloquez-le au niveau du pare-feu.
- Renouvelez les identifiants dès maintenant. Remplacez les mots de passe faibles, par défaut ou réutilisés, en commençant par les comptes de niveau administrateur. Utilisez des phrases de passe longues et uniques.
- Limitez qui peut se connecter. Autorisez l'accès uniquement depuis des adresses de confiance spécifiques, ou exigez un VPN ou une connexion privée similaire pour l'administration à distance.
- Appliquez le moindre privilège. Accordez aux applications et aux utilisateurs uniquement les permissions dont ils ont besoin, et désactivez les fonctionnalités de base de données que vous n'utilisez pas.
- Surveillez les signes avant-coureurs. Les échecs de connexion répétés, les nouveaux comptes inattendus, les pics de CPU inexpliqués et les processus inconnus sur un serveur de base de données méritent tous une investigation.
- Maintenez les systèmes à jour et surveillés. Exécutez une protection des points de terminaison sur le serveur et maintenez Windows et SQL Server corrigés.
- Revoyez les sauvegardes. Assurez-vous de disposer de sauvegardes propres et hors ligne afin de pouvoir reconstruire un serveur s'il est compromis.
L'essentiel
Cette attaque Gh0st RAT contre Microsoft SQL Server réussit en raison d'une exposition basique, et non d'une ruse avancée, ce qui signifie aussi qu'elle est largement évitable. Auditez quelles instances SQL Server sont accessibles depuis Internet, renouvelez dès aujourd'hui les identifiants faibles et restreignez l'accès au strict nécessaire. Pour un aperçu plus large de la manière dont les attaquants exploitent un accès bon marché pour dérober de la puissance de calcul, lisez notre rapport sur le piratage de Railway et ses 1,1 M$ de calcul IA dérobés.
