Un nuovo rapporto descrive un attacco Gh0st RAT contro Microsoft SQL Server in cui gli hacker prendono di mira password di database deboli e poi usano le funzionalità del database stesso per eseguire malware su server Windows. I payload sono un miner di criptovaluta Monero e Gh0st RAT, un trojan di accesso remoto. La combinazione trasforma un database mal protetto sia in una macchina per fare soldi per l'attaccante sia in una finestra sulla rete della vittima.
Il rapporto originale è breve, quindi questo articolo si attiene a quanto afferma: gli attaccanti puntano a password deboli di Microsoft SQL Server e si affidano alle funzionalità del database per eseguire il loro malware. Le lezioni pratiche, tuttavia, sono chiare e si applicano a qualsiasi organizzazione che utilizzi SQL Server.
Come gli attaccanti trasformano SQL Server in un lanciatore di malware
L'attacco inizia con un tentativo di indovinare. Secondo il rapporto, gli hacker prendono di mira server protetti da password deboli. Una volta entrati, non hanno bisogno di sfruttare una falla esotica. Invece, usano funzionalità che fanno parte del database stesso per far eseguire malware sulla macchina Windows sottostante.
È questo che rende la tecnica meritevole di essere compresa. Un server di database è progettato per eseguire comandi e gestire file per conto di amministratori e applicazioni. Quando un attaccante possiede credenziali valide, quella funzionalità legittima può essere rivolta all'avvio di programmi. Poiché l'attività passa attraverso un servizio fidato, può apparire meno sospetta rispetto a un tipico download di malware.
Cosa fanno Gh0st RAT e il miner di Monero una volta installati
I due payload servono obiettivi diversi.
Il miner di Monero riguarda la sottrazione di risorse. Usa la potenza di elaborazione del server per estrarre criptovaluta per l'attaccante, mentre la vittima paga l'elettricità e subisce i rallentamenti. Un server di database che improvvisamente si surriscalda o diventa lento può essere un segnale di questo tipo di abuso.
Gh0st RAT riguarda l'accesso. È un trojan di accesso remoto, un tipo di malware che dà a un attaccante il controllo remoto di una macchina Windows infetta. Strumenti di accesso remoto di questo tipo sono generalmente usati per sorveglianza e furto di dati, il che è importante su un server che può trovarsi vicino a registri aziendali sensibili.
Insieme, i payload mostrano come gli attaccanti possano monetizzare immediatamente una compromissione con il mining, mantenendo al contempo un punto d'appoggio a lungo termine tramite il trojan. Il furto di risorse di questo tipo non è esclusivo del malware di mining; la nostra copertura dell'hack di Railway, in cui 1,1 milioni di dollari in capacità di calcolo AI sono stati rubati tramite account falsi, mostra un modello simile di attaccanti che sfruttano l'accesso a basso costo per consumare le risorse di calcolo altrui.
Perché password deboli e istanze esposte sono il punto di ingresso
Nulla in questo attacco dipende da un sofisticato zero-day. Dipende da una password che può essere indovinata. Il brute-forcing, ovvero provare molte password finché una funziona, ha successo contro account con credenziali semplici o riutilizzate, ed è molto più efficace quando il database è raggiungibile da internet.
Due condizioni rendono un server un bersaglio facile:
- Credenziali deboli o predefinite sugli account del database, soprattutto quelli con privilegi elevati.
- Esposizione a internet, che consente a chiunque di tentare accessi su larga scala senza essere già all'interno della rete.
Rimuovi una delle due e il lavoro dell'attaccante diventa molto più difficile. Rimuovi entrambe e questo particolare percorso di attacco si chiude in gran parte.
Cosa significa per te
Se gestisci Microsoft SQL Server, che sia per un'applicazione aziendale, un sistema di punto vendita o un piccolo strumento interno, questo è un promemoria del fatto che i database vengono spesso configurati una volta e poi dimenticati. Un'istanza trascurata con una password semplice è esattamente ciò che queste campagne cercano.
Se non sei un amministratore, la conclusione è comunque rilevante. I servizi che usi dipendono da database come questi, e una compromissione può portare a prestazioni dirottate e dati esposti. Chiedi al tuo provider IT o fornitore come viene limitato e monitorato l'accesso al database.
Checklist di sicurezza per amministratori e piccole imprese
Usa questo elenco come punto di partenza per rafforzare SQL Server contro questo tipo di attacco:
- Trova le tue istanze esposte. Verifica se qualche SQL Server è raggiungibile da internet. Se non deve esserlo, bloccalo a livello di firewall.
- Ruota subito le credenziali. Sostituisci password deboli, predefinite o riutilizzate, iniziando dagli account a livello di amministratore. Usa passphrase lunghe e uniche.
- Limita chi può connettersi. Consenti l'accesso solo da indirizzi fidati specifici, oppure richiedi una VPN o una connessione privata simile per l'amministrazione remota.
- Applica il privilegio minimo. Concedi ad applicazioni e utenti solo i permessi di cui hanno bisogno e disabilita le funzionalità del database che non usi.
- Tieni d'occhio i segnali d'allarme. Accessi falliti ripetuti, nuovi account inaspettati, picchi di CPU inspiegabili e processi sconosciuti su un server di database meritano tutti un'indagine.
- Mantieni i sistemi aggiornati e monitorati. Esegui la protezione endpoint sul server e mantieni Windows e SQL Server aggiornati con le patch.
- Rivedi i backup. Assicurati di avere backup puliti e offline per poter ricostruire un server se viene compromesso.
In conclusione
Questo attacco Gh0st RAT contro Microsoft SQL Server ha successo a causa di un'esposizione di base, non di astuzie avanzate, il che significa anche che è in gran parte prevenibile. Verifica quali istanze di SQL Server sono raggiungibili da internet, ruota oggi stesso le credenziali deboli e limita l'accesso solo a ciò che è necessario. Per uno sguardo più ampio su come gli attaccanti sfruttano l'accesso a basso costo per rubare potenza di calcolo, leggi il nostro rapporto sull'hack di Railway e i suoi 1,1 milioni di dollari in capacità di calcolo AI rubata.
