Egy új jelentés egy Microsoft SQL Server Gh0st RAT támadást ír le, amelyben a hackerek gyenge adatbázis-jelszavakat céloznak meg, majd magának az adatbázisnak a saját funkcióit használják rosszindulatú programok futtatására Windows-kiszolgálókon. A payloadok egy Monero kriptovaluta-bányász és a Gh0st RAT, egy távoli hozzáférésű trójai. A kombináció egy rosszul védett adatbázist egyszerre változtat a támadó pénztermelő gépezetévé és az áldozat hálózatába nyíló ablakká.
A forrásjelentés rövid, ezért ez a cikk ahhoz tartja magát, amit megállapít: a támadók gyenge Microsoft SQL Server jelszavakat céloznak meg, és az adatbázis funkcióira támaszkodnak a rosszindulatú programjaik végrehajtásához. A gyakorlati tanulságok azonban világosak, és minden SQL Servert futtató szervezetre érvényesek.
Hogyan alakítják a támadók az SQL Servert rosszindulatú programok indítójává
A támadás találgatással kezdődik. A jelentés szerint a hackerek gyenge jelszavakkal védett kiszolgálókat céloznak meg. Amint bejutnak, nincs szükségük egzotikus sérülékenység kihasználására. Ehelyett az adatbázis részét képező funkciókat használják arra, hogy rosszindulatú programot futtassanak a mögöttes Windows-gépen.
Ez teszi érdemessé a technika megértését. Az adatbázis-kiszolgáló rendeltetése, hogy parancsokat hajtson végre és fájlokat kezeljen a rendszergazdák és alkalmazások nevében. Amikor a támadó érvényes hitelesítő adatokkal rendelkezik, ez a legitim funkcionalitás programok indítására fordítható. Mivel a tevékenység egy megbízható szolgáltatáson keresztül fut, kevésbé tűnhet gyanúsnak, mint egy tipikus rosszindulatú program letöltése.
Mit tesz a Gh0st RAT és a Monero bányász telepítés után
A két payload különböző célokat szolgál.
A Monero bányász az erőforrás-elbitorlásról szól. A kiszolgáló feldolgozási teljesítményét használja kriptovaluta bányászatára a támadó számára, miközben az áldozat fizeti az áramot és viseli a lelassulásokat. Egy adatbázis-kiszolgáló, amely hirtelen felforrósodik vagy lelassul, az ilyen típusú visszaélés jele lehet.
A Gh0st RAT a hozzáférésről szól. Távoli hozzáférésű trójai, a rosszindulatú programok egy olyan típusa, amely távoli irányítást ad a támadónak egy fertőzött Windows-gép felett. Az ilyen típusú távoli hozzáférési eszközöket általában megfigyelésre és adatlopásra használják, ami számít egy olyan kiszolgálón, amely érzékeny üzleti nyilvántartások közelében lehet.
Együtt a payloadok megmutatják, hogyan tudják a támadók azonnal pénzzé tenni a kompromittálódást bányászattal, miközben hosszabb távú lábtartást tartanak fenn a trójai révén. Az ilyen típusú erőforrás-lopás nem egyedi a bányászó rosszindulatú programoknál; a Railway hackről szóló tudósításunk, ahol 1,1 millió dollár értékű AI-számítást loptak el hamis fiókokon keresztül, hasonló mintát mutat, amelyben a támadók olcsó hozzáférést használnak ki, hogy más számítástechnikai erőforrásait égessék el.
Miért a gyenge jelszavak és a kitett példányok a belépési pont
Ebben a támadásban semmi sem függ kifinomult nulladik napi sérülékenységtől. Egy kitalálható jelszótól függ. A brute-force, sok jelszó kipróbálása, amíg egy működik, sikeres az egyszerű vagy újrahasznált hitelesítő adatokkal rendelkező fiókok ellen, és sokkal hatékonyabb, ha az adatbázis elérhető az internetről.
Két feltétel teszi a kiszolgálót könnyű célponttá:
- Gyenge vagy alapértelmezett hitelesítő adatok az adatbázis-fiókokon, különösen a magas jogosultságúakon.
- Internetes kitettség, amely lehetővé teszi bárki számára, hogy nagy léptékben próbáljon bejelentkezni anélkül, hogy már a hálózaton belül lenne.
Távolítsd el bármelyiket, és a támadó dolga sokkal nehezebb lesz. Távolítsd el mindkettőt, és ez a konkrét támadási útvonal nagyrészt bezárul.
Mit jelent ez számodra
Ha Microsoft SQL Servert futtatsz, legyen az üzleti alkalmazáshoz, pénztárrendszerhez vagy egy kis belső eszközhöz, ez emlékeztető arra, hogy az adatbázisokat gyakran egyszer állítják be, majd elfelejtik. Egy elhanyagolt példány egyszerű jelszóval pontosan az, amit ezek a kampányok keresnek.
Ha nem vagy rendszergazda, a tanulság akkor is releváns. Az általad használt szolgáltatások ilyen adatbázisoktól függenek, és egy kompromittálódás eltérített teljesítményhez és kiszivárgott adatokhoz vezethet. Kérdezd meg IT-szolgáltatódat vagy szállítódat, hogyan korlátozzák és figyelik az adatbázis-hozzáférést.
Biztonsági ellenőrzőlista rendszergazdáknak és kisvállalkozásoknak
Használd ezt a listát kiindulópontként az SQL Server ilyen típusú támadás elleni megerősítéséhez:
- Találd meg a kitett példányaidat. Ellenőrizd, hogy bármely SQL Server elérhető-e az internetről. Ha nem kell annak lennie, blokkold a tűzfalon.
- Forgasd a hitelesítő adatokat most. Cseréld le a gyenge, alapértelmezett vagy újrahasznált jelszavakat, kezdve a rendszergazda szintű fiókokkal. Használj hosszú, egyedi jelmondatokat.
- Korlátozd, ki csatlakozhat. Engedélyezd a hozzáférést csak meghatározott megbízható címekről, vagy írj elő VPN-t vagy hasonló privát kapcsolatot a távoli adminisztrációhoz.
- Alkalmazz minimális jogosultságot. Az alkalmazásoknak és felhasználóknak csak a szükséges engedélyeket add meg, és tiltsd le a nem használt adatbázis-funkciókat.
- Figyeld a figyelmeztető jeleket. Az ismételt sikertelen bejelentkezések, a váratlan új fiókok, a megmagyarázhatatlan CPU-csúcsok és az ismeretlen folyamatok egy adatbázis-kiszolgálón mind vizsgálatot érdemelnek.
- Tartsd naprakészen és felügyelve a rendszereket. Futtass végpontvédelmet a kiszolgálón, és tartsd patchelt állapotban a Windows-t és az SQL Servert.
- Tekintsd át a biztonsági mentéseket. Győződj meg róla, hogy vannak tiszta, offline biztonsági mentéseid, hogy újraépíthess egy kiszolgálót, ha kompromittálódik.
A lényeg
Ez a Microsoft SQL Server Gh0st RAT támadás az alapvető kitettség miatt sikeres, nem fejlett trükközés miatt, ami azt is jelenti, hogy nagyrészt megelőzhető. Auditáld, mely SQL Server példányok érhetők el az internetről, forgasd a gyenge hitelesítő adatokat még ma, és korlátozd a hozzáférést csak a szükségesre. Ha szélesebb képet szeretnél arról, hogyan használják ki a támadók az olcsó hozzáférést számítástechnikai teljesítmény lopására, olvasd el a Railway hackről és annak 1,1 millió dollár értékű ellopott AI-számításáról szóló jelentésünket.
