新しい報告書は、ハッカーが脆弱なデータベースのパスワードを標的にし、データベース自体の機能を使ってWindowsサーバー上でマルウェアを実行する、Microsoft SQL ServerへのGh0st RAT攻撃について説明している。ペイロードはMonero暗号通貨マイナーと、リモートアクセストロジャンであるGh0st RATである。この組み合わせにより、適切に保護されていない1つのデータベースが、攻撃者にとっての金儲けマシンであり、かつ被害者のネットワークへの窓口にもなる。

元の報告書は簡潔であるため、本記事は記載されている内容に限定する。攻撃者は脆弱なMicrosoft SQL Serverのパスワードを狙い、データベースの機能を利用してマルウェアを実行する。しかし、実践的な教訓は明確であり、SQL Serverを運用するあらゆる組織に当てはまる。

攻撃者がSQL Serverをマルウェアの起動装置に変える仕組み

攻撃は推測から始まる。報告書によると、ハッカーは脆弱なパスワードで保護されたサーバーを標的にする。一度侵入すれば、特殊な脆弱性を悪用する必要はない。代わりに、データベース自体の一部である機能を使って、基盤となるWindowsマシン上でマルウェアを実行させる。

これがこの手法を理解する価値のある理由である。データベースサーバーは、管理者やアプリケーションのためにコマンドを実行し、ファイルを処理するように設計されている。攻撃者が有効な認証情報を保持している場合、その正当な機能がプログラムの起動に転用され得る。この活動は信頼されたサービスを通じて実行されるため、典型的なマルウェアのダウンロードよりも疑わしく見えない可能性がある。

Gh0st RATとMoneroマイナーがインストール後に何をするか

2つのペイロードは異なる目的を果たす。

Moneroマイナーはリソースの乗っ取りが目的である。サーバーの処理能力を使って攻撃者のために暗号通貨をマイニングし、被害者は電気代を支払い、速度低下を甘受する。突然高温になったり動作が鈍くなったりするデータベースサーバーは、この種の悪用の兆候かもしれない。

Gh0st RATはアクセスが目的である。これはリモートアクセストロジャンであり、攻撃者が感染したWindowsマシンを遠隔操作できるようにするタイプのマルウェアである。この種のリモートアクセスツールは一般に監視やデータ窃取に使用され、機密性の高い業務記録の近くに位置する可能性のあるサーバー上では重要である。

両方のペイロードを合わせると、攻撃者がマイニングによって侵害を即座に収益化しつつ、トロジャンを通じて長期的な足場を維持できることが分かる。この種のリソース窃取はマイニングマルウェアに固有のものではない。偽アカウントを通じて110万ドル相当のAI計算リソースが盗まれたRailwayハッキングに関する我々の報道は、攻撃者が安価なアクセスを悪用して他者の計算リソースを消費する同様のパターンを示している。

脆弱なパスワードと公開されたインスタンスが侵入経路となる理由

この攻撃は洗練されたゼロデイに依存するものではない。推測可能なパスワードに依存している。ブルートフォース攻撃、つまり1つが成功するまで多数のパスワードを試す手法は、単純または使い回された認証情報を持つアカウントに対して成功し、データベースがインターネットから到達可能な場合にははるかに効果的である。

2つの条件がサーバーを容易な標的にする。

  • データベースアカウント、特に高い権限を持つアカウントの脆弱またはデフォルトの認証情報。
  • インターネットへの公開。これにより、ネットワーク内部に既にいることなく、誰でも大規模にログインを試みることができる。

どちらか一方を排除すれば、攻撃者の仕事ははるかに難しくなる。両方を排除すれば、この特定の攻撃経路はほぼ閉ざされる。

これがあなたにとって意味すること

ビジネスアプリケーション、POSシステム、または小規模な内部ツールのためにMicrosoft SQL Serverを運用しているなら、これはデータベースが一度設定された後に忘れられがちであることの提醒である。単純なパスワードを持つ放置されたインスタンスこそ、これらのキャンペーンが探し求めるものである。

管理者でなくても、得られる教訓は依然として関連がある。あなたが使用するサービスはこのようなデータベースに依存しており、侵害はパフォーマンスの乗っ取りやデータの露出につながる可能性がある。データベースへのアクセスがどのように制限され監視されているか、ITプロバイダーやベンダーに尋ねてほしい。

管理者と中小企業向けのセキュリティチェックリスト

この種の攻撃に対してSQL Serverを強化するための出発点として、このリストを使用してほしい。

  1. 公開されているインスタンスを見つける。 SQL Serverがインターネットから到達可能かどうかを確認する。不要であれば、ファイアウォールでブロックする。
  2. 今すぐ認証情報をローテーションする。 管理者レベルのアカウントから始めて、脆弱、デフォルト、または使い回されたパスワードを置き換える。長く一意なパスフレーズを使用する。
  3. 接続できる人を制限する。 特定の信頼されたアドレスからのみアクセスを許可するか、リモート管理にはVPNまたは同様のプライベート接続を要求する。
  4. 最小権限を適用する。 アプリケーションとユーザーには必要な権限のみを与え、使用しないデータベース機能は無効にする。
  5. 警告サインを監視する。 繰り返しのログイン失敗、予期しない新しいアカウント、原因不明のCPUスパイク、データベースサーバー上の見慣れないプロセスはすべて調査に値する。
  6. システムを最新の状態に保ち監視する。 サーバーでエンドポイント保護を実行し、WindowsとSQL Serverにパッチを適用し続ける。
  7. バックアップを見直す。 侵害された場合にサーバーを再構築できるよう、クリーンでオフラインのバックアップがあることを確認する。

結論

このMicrosoft SQL ServerへのGh0st RAT攻撃は、高度なトリックではなく基本的な露出によって成功しており、それは主に予防可能であることも意味する。どのSQL Serverインスタンスがインターネットから到達可能かを監査し、今日脆弱な認証情報をローテーションし、アクセスを必要なものだけに制限してほしい。攻撃者が安価なアクセスを悪用して計算能力を窃取する方法のより広い概要については、Railwayハッキングと盗まれた110万ドル相当のAI計算リソースに関する我々の報告書をお読みください。