Sebuah laporan baru menjelaskan serangan Gh0st RAT pada Microsoft SQL Server di mana peretas menargetkan kata sandi basis data yang lemah dan kemudian menggunakan fitur basis data itu sendiri untuk menjalankan malware pada server Windows. Muatannya adalah penambang mata uang kripto Monero dan Gh0st RAT, sebuah trojan akses jarak jauh. Kombinasi ini mengubah satu basis data yang kurang terlindungi menjadi mesin penghasil uang bagi penyerang sekaligus jendela ke dalam jaringan korban.
Laporan sumbernya singkat, sehingga artikel ini berpegang pada apa yang dinyatakannya: para penyerang memburu kata sandi Microsoft SQL Server yang lemah, dan mereka mengandalkan fungsionalitas basis data untuk mengeksekusi malware mereka. Namun, pelajaran praktisnya jelas dan berlaku untuk organisasi mana pun yang menjalankan SQL Server.
Bagaimana penyerang mengubah SQL Server menjadi peluncur malware
Serangan dimulai dengan menebak. Menurut laporan tersebut, peretas menargetkan server yang dilindungi oleh kata sandi lemah. Setelah mereka masuk, mereka tidak perlu mengeksploitasi celah yang eksotis. Sebagai gantinya, mereka menggunakan fitur yang merupakan bagian dari basis data itu sendiri untuk menjalankan malware pada mesin Windows yang mendasarinya.
Inilah yang membuat teknik ini layak dipahami. Server basis data dimaksudkan untuk mengeksekusi perintah dan menangani file atas nama administrator dan aplikasi. Ketika penyerang memiliki kredensial yang valid, fungsionalitas yang sah itu dapat diarahkan untuk meluncurkan program. Karena aktivitas tersebut berjalan melalui layanan yang tepercaya, aktivitas itu bisa tampak kurang mencurigakan dibandingkan unduhan malware pada umumnya.
Apa yang dilakukan Gh0st RAT dan penambang Monero setelah terpasang
Kedua muatan tersebut melayani tujuan yang berbeda.
Penambang Monero adalah tentang pembajakan sumber daya. Ia menggunakan daya pemrosesan server untuk menambang mata uang kripto bagi penyerang, sementara korban membayar listrik dan menanggung perlambatan. Server basis data yang tiba-tiba menjadi panas atau lambat bisa menjadi tanda penyalahgunaan semacam ini.
Gh0st RAT adalah tentang akses. Ia adalah trojan akses jarak jauh, sejenis malware yang memberikan kendali jarak jauh kepada penyerang atas mesin Windows yang terinfeksi. Alat akses jarak jauh semacam ini umumnya digunakan untuk pengawasan dan pencurian data, yang menjadi penting pada server yang mungkin berada dekat dengan catatan bisnis yang sensitif.
Secara bersama-sama, muatan tersebut menunjukkan bagaimana penyerang dapat memonetisasi kompromi segera dengan penambangan sambil mempertahankan pijakan jangka panjang melalui trojan. Pencurian sumber daya semacam ini bukan hal unik bagi malware penambangan; liputan kami tentang peretasan Railway, di mana $1,1 juta dalam komputasi AI dicuri melalui akun palsu, menunjukkan pola serupa di mana penyerang mengeksploitasi akses murah untuk membakar sumber daya komputasi orang lain.
Mengapa kata sandi lemah dan instans yang terekspos menjadi titik masuk
Tidak ada dalam serangan ini yang bergantung pada zero-day yang canggih. Serangan ini bergantung pada kata sandi yang dapat ditebak. Brute-forcing, mencoba banyak kata sandi sampai ada yang berhasil, berhasil terhadap akun dengan kredensial sederhana atau yang digunakan ulang, dan jauh lebih efektif ketika basis data dapat dijangkau dari internet.
Dua kondisi membuat server menjadi target yang mudah:
- Kredensial lemah atau default pada akun basis data, terutama yang memiliki hak istimewa tinggi.
- Eksposur ke internet, yang memungkinkan siapa pun mencoba login dalam skala besar tanpa harus berada di dalam jaringan.
Hilangkan salah satunya dan pekerjaan penyerang menjadi jauh lebih sulit. Hilangkan keduanya dan jalur serangan khusus ini sebagian besar tertutup.
Apa Artinya Bagi Anda
Jika Anda menjalankan Microsoft SQL Server, baik untuk aplikasi bisnis, sistem point-of-sale, atau alat internal kecil, ini adalah pengingat bahwa basis data sering kali disiapkan sekali lalu dilupakan. Instans yang terabaikan dengan kata sandi sederhana adalah persis apa yang dicari kampanye ini.
Jika Anda bukan admin, kesimpulannya tetap relevan. Layanan yang Anda gunakan bergantung pada basis data seperti ini, dan kompromi dapat menyebabkan kinerja yang dibajak dan data yang terekspos. Tanyakan kepada penyedia IT atau vendor Anda bagaimana akses basis data dibatasi dan dipantau.
Daftar periksa keamanan untuk admin dan usaha kecil
Gunakan daftar ini sebagai titik awal untuk memperkuat SQL Server terhadap serangan semacam ini:
- Temukan instans Anda yang terekspos. Periksa apakah ada SQL Server yang dapat dijangkau dari internet. Jika tidak perlu, blokir di firewall.
- Rotasi kredensial sekarang. Ganti kata sandi yang lemah, default, atau digunakan ulang, dimulai dengan akun tingkat administrator. Gunakan frasa sandi yang panjang dan unik.
- Batasi siapa yang dapat terhubung. Izinkan akses hanya dari alamat tepercaya tertentu, atau wajibkan VPN atau koneksi privat serupa untuk administrasi jarak jauh.
- Terapkan hak istimewa paling rendah. Berikan aplikasi dan pengguna hanya izin yang mereka butuhkan, dan nonaktifkan fitur basis data yang tidak Anda gunakan.
- Awasi tanda-tanda peringatan. Login gagal berulang, akun baru yang tidak terduga, lonjakan CPU yang tidak dapat dijelaskan, dan proses asing pada server basis data semuanya perlu diselidiki.
- Jaga sistem tetap diperbarui dan terpantau. Jalankan perlindungan endpoint pada server dan jaga Windows serta SQL Server tetap ditambal.
- Tinjau cadangan. Pastikan Anda memiliki cadangan yang bersih dan offline sehingga Anda dapat membangun ulang server jika terjadi kompromi.
Kesimpulannya
Serangan Gh0st RAT pada Microsoft SQL Server ini berhasil karena eksposur dasar, bukan tipu daya canggih, yang juga berarti sebagian besar dapat dicegah. Audit instans SQL Server mana yang dapat dijangkau dari internet, rotasi kredensial lemah hari ini, dan batasi akses hanya pada apa yang diperlukan. Untuk gambaran lebih luas tentang bagaimana penyerang mengeksploitasi akses murah untuk mencuri daya komputasi, baca laporan kami tentang peretasan Railway dan $1,1 juta dalam komputasi AI yang dicuri.
