Novo izvješće opisuje napad Microsoft SQL Server Gh0st RAT u kojem hakeri ciljaju slabe lozinke baza podataka, a zatim koriste vlastite značajke baze podataka za pokretanje zlonamjernog softvera na Windows poslužiteljima. Payloadi su Monero kripto rudar i Gh0st RAT, trojanac za daljinski pristup. Kombinacija pretvara jednu slabo zaštićenu bazu podataka u stroj za stvaranje novca za napadača i u prozor u mrežu žrtve.

Izvorno izvješće je kratko, pa se ovaj članak drži onoga što se u njemu navodi: napadači ciljaju slabe lozinke Microsoft SQL Servera i oslanjaju se na funkcionalnost baze podataka za izvršavanje zlonamjernog softvera. Praktične lekcije, međutim, jasne su i primjenjive na svaku organizaciju koja koristi SQL Server.

Kako napadači pretvaraju SQL Server u lanser zlonamjernog softvera

Napad počinje pogađanjem. Prema izvješću, hakeri ciljaju poslužitelje zaštićene slabim lozinkama. Nakon što uđu, ne trebaju iskorištavati egzotičnu ranjivost. Umjesto toga, koriste značajke koje su dio same baze podataka kako bi pokrenuli zlonamjerni softver na temeljnom Windows stroju.

To je ono zbog čega je ovu tehniku vrijedno razumjeti. Poslužitelj baze podataka namijenjen je izvršavanju naredbi i rukovanju datotekama u ime administratora i aplikacija. Kada napadač posjeduje valjane vjerodajnice, ta legitimna funkcionalnost može se okrenuti pokretanju programa. Budući da se aktivnost odvija kroz pouzdanu uslugu, može izgledati manje sumnjivo od tipičnog preuzimanja zlonamjernog softvera.

Što Gh0st RAT i Monero rudar rade nakon instalacije

Dva payloada služe različitim ciljevima.

Monero rudar služi otimanju resursa. Koristi procesorsku snagu poslužitelja za rudarenje kriptovaluta za napadača, dok žrtva plaća struju i trpi usporavanja. Poslužitelj baze podataka koji iznenada radi vruće ili usporeno može biti znak ove vrste zloupotrebe.

Gh0st RAT služi pristupu. To je trojanac za daljinski pristup, vrsta zlonamjernog softvera koja napadaču daje daljinsku kontrolu nad zaraženim Windows strojem. Alati za daljinski pristup ove vrste općenito se koriste za nadzor i krađu podataka, što je važno na poslužitelju koji može biti blizu osjetljivih poslovnih zapisa.

Zajedno, payloadi pokazuju kako napadači mogu odmah monetizirati kompromitaciju rudarenjem dok zadržavaju dugoročno uporište kroz trojanca. Krađa resursa ove vrste nije jedinstvena za rudarski zlonamjerni softver; naše izvješće o Railway haku, gdje je 1,1 milijun dolara AI računalnih resursa ukradeno putem lažnih računa, pokazuje sličan obrazac napadača koji iskorištavaju jeftin pristup kako bi trošili tuđe računalne resurse.

Zašto su slabe lozinke i izložene instance ulazna točka

Ništa u ovom napadu ne ovisi o sofisticiranom zero-dayu. Ovisi o lozinci koja se može pogoditi. Gruba sila, isprobavanje mnogih lozinki dok jedna ne uspije, uspijeva protiv računa s jednostavnim ili ponovno korištenim vjerodajnicama, a daleko je učinkovitija kada je baza podataka dostupna s interneta.

Dva uvjeta čine poslužitelj lakom metom:

  • Slabe ili zadane vjerodajnice na računima baze podataka, posebno onima s visokim privilegijama.
  • Izloženost internetu, koja svakome omogućuje masovne pokušaje prijave bez prethodnog pristupa mreži.

Uklonite bilo koji od njih i napadačev posao postaje mnogo teži. Uklonite oba i ovaj konkretni put napada uglavnom se zatvara.

Što to znači za vas

Ako koristite Microsoft SQL Server, bilo za poslovnu aplikaciju, sustav na prodajnom mjestu ili mali interni alat, ovo je podsjetnik da se baze podataka često postavljaju jednom i zatim zaborave. Zanemarena instanca s jednostavnom lozinkom upravo je ono što ove kampanje traže.

Ako niste administrator, zaključak je i dalje relevantan. Usluge koje koristite ovise o ovakvim bazama podataka, a kompromitacija može dovesti do otete izvedbe i izloženih podataka. Pitajte svog IT pružatelja ili dobavljača kako je pristup bazi podataka ograničen i nadziran.

Sigurnosna kontrolna lista za administratore i male tvrtke

Koristite ovaj popis kao početnu točku za jačanje SQL Servera protiv ove vrste napada:

  1. Pronađite svoje izložene instance. Provjerite je li bilo koji SQL Server dostupan s interneta. Ako ne mora biti, blokirajte ga na vatrozidu.
  2. Odmah rotirajte vjerodajnice. Zamijenite slabe, zadane ili ponovno korištene lozinke, počevši od računa na administratorskoj razini. Koristite duge, jedinstvene lozinke.
  3. Ograničite tko se može povezati. Dopustite pristup samo s određenih pouzdanih adresa ili zahtijevajte VPN ili sličnu privatnu vezu za daljinsku administraciju.
  4. Primijenite najmanje privilegije. Dajte aplikacijama i korisnicima samo potrebne dozvole i onemogućite značajke baze podataka koje ne koristite.
  5. Pazite na znakove upozorenja. Ponovljeni neuspjeli pokušaji prijave, neočekivani novi računi, neobjašnjivi skokovi CPU-a i nepoznati procesi na poslužitelju baze podataka zaslužuju istragu.
  6. Održavajte sustave ažurnima i nadziranima. Pokrenite zaštitu krajnjih točaka na poslužitelju i održavajte Windows i SQL Server zakrpanima.
  7. Pregledajte sigurnosne kopije. Provjerite imate li čiste, izvanmrežne sigurnosne kopije kako biste mogli ponovno izgraditi poslužitelj ako bude kompromitiran.

Zaključak

Ovaj napad Microsoft SQL Server Gh0st RAT uspijeva zbog osnovne izloženosti, a ne naprednih trikova, što također znači da se uglavnom može spriječiti. Revidirajte koje su instance SQL Servera dostupne s interneta, danas rotirajte slabe vjerodajnice i ograničite pristup samo na ono što je potrebno. Za širi pogled na to kako napadači iskorištavaju jeftin pristup za krađu računalne snage, pročitajte naše izvješće o Railway haku i njegovih 1,1 milijun dolara ukradenih AI računalnih resursa.