새로운 보고서는 해커들이 취약한 데이터베이스 비밀번호를 노린 뒤 데이터베이스 자체의 기능을 이용해 Windows 서버에서 악성코드를 실행하는 Microsoft SQL Server Gh0st RAT 공격을 설명한다. 페이로드는 모네로 암호화폐 채굴기와 원격 접근 트로이 목마인 Gh0st RAT다. 이 조합은 제대로 보호되지 않은 데이터베이스 하나를 공격자에게는 돈을 벌어주는 기계로, 피해자에게는 네트워크를 들여다보는 창구로 바꿔 놓는다.

원본 보고서가 간략하기 때문에, 이 기사는 보고서가 밝힌 내용에만 집중한다. 공격자들은 취약한 Microsoft SQL Server 비밀번호를 노리고, 악성코드를 실행하기 위해 데이터베이스 기능에 의존한다. 그러나 실질적인 교훈은 명확하며 SQL Server를 운영하는 모든 조직에 적용된다.

공격자들이 SQL Server를 악성코드 실행기로 바꾸는 방법

공격은 추측에서 시작된다. 보고서에 따르면 해커들은 취약한 비밀번호로 보호된 서버를 노린다. 일단 침입하면 별난 취약점을 악용할 필요가 없다. 대신 데이터베이스 자체에 포함된 기능을 사용해 기반 Windows 머신에서 악성코드를 실행한다.

이것이 바로 이 기법을 이해할 가치가 있는 이유다. 데이터베이스 서버는 관리자와 애플리케이션을 대신해 명령을 실행하고 파일을 처리하도록 만들어진다. 공격자가 유효한 자격 증명을 보유하면, 그 정당한 기능이 프로그램을 실행하는 데 이용될 수 있다. 이 활동은 신뢰할 수 있는 서비스를 통해 실행되기 때문에 일반적인 악성코드 다운로드보다 덜 의심스러워 보일 수 있다.

Gh0st RAT와 모네로 채굴기가 설치된 후 하는 일

두 페이로드는 서로 다른 목표를 수행한다.

모네로 채굴기는 자원 탈취에 관한 것이다. 서버의 처리 능력을 사용해 공격자를 위해 암호화폐를 채굴하는 동안, 피해자는 전기 요금을 내고 성능 저하를 감수한다. 갑자기 과열되거나 느려지는 데이터베이스 서버는 이런 종류의 남용을 나타내는 신호일 수 있다.

Gh0st RAT는 접근에 관한 것이다. 이는 원격 접근 트로이 목마로, 감염된 Windows 머신을 공격자가 원격으로 제어할 수 있게 해주는 악성코드 유형이다. 이런 종류의 원격 접근 도구는 일반적으로 감시와 데이터 탈취에 사용되며, 이는 민감한 비즈니스 기록과 가까이 위치할 수 있는 서버에서 중요하다.

두 페이로드는 함께 공격자들이 채굴을 통해 침해를 즉시 수익화하면서 트로이 목마를 통해 장기적인 발판을 유지할 수 있는 방법을 보여준다. 이런 종류의 자원 탈취는 채굴 악성코드에만 국한되지 않는다. 가짜 계정을 통해 110만 달러 규모의 AI 컴퓨팅이 탈취된 Railway 해킹에 대한 우리의 보도는 공격자들이 값싼 접근을 악용해 다른 사람의 컴퓨팅 자원을 소모시키는 유사한 패턴을 보여준다.

취약한 비밀번호와 노출된 인스턴스가 진입점인 이유

이 공격은 정교한 제로데이에 의존하지 않는다. 추측 가능한 비밀번호에 의존한다. 무차별 대입 공격, 즉 하나가 성공할 때까지 많은 비밀번호를 시도하는 것은 단순하거나 재사용된 자격 증명을 가진 계정에 대해 성공하며, 데이터베이스가 인터넷에서 접근 가능할 때 훨씬 더 효과적이다.

두 가지 조건이 서버를 쉬운 표적으로 만든다:

  • 데이터베이스 계정, 특히 높은 권한을 가진 계정의 취약하거나 기본 비밀번호.
  • 인터넷 노출, 이는 누구나 이미 네트워크 내부에 있지 않고도 대규모로 로그인을 시도할 수 있게 한다.

둘 중 하나만 제거해도 공격자의 작업은 훨씬 어려워진다. 둘 다 제거하면 이 특정 공격 경로는 대부분 닫힌다.

이것이 당신에게 의미하는 것

비즈니스 애플리케이션, POS 시스템 또는 소규모 내부 도구를 위해 Microsoft SQL Server를 운영한다면, 이는 데이터베이스가 종종 한 번 설정된 후 잊힌다는 점을 상기시켜 준다. 단순한 비밀번호를 가진 방치된 인스턴스는 바로 이런 캠페인들이 찾는 것이다.

관리자가 아니더라도 시사점은 여전히 관련이 있다. 당신이 사용하는 서비스는 이런 데이터베이스에 의존하며, 침해는 성능 탈취와 데이터 노출로 이어질 수 있다. 데이터베이스 접근이 어떻게 제한되고 모니터링되는지 IT 제공업체나 벤더에 문의하라.

관리자와 소규모 비즈니스를 위한 보안 체크리스트

이런 종류의 공격에 대비해 SQL Server를 강화하기 위한 출발점으로 이 목록을 사용하라:

  1. 노출된 인스턴스를 찾아라. SQL Server가 인터넷에서 접근 가능한지 확인하라. 그럴 필요가 없다면 방화벽에서 차단하라.
  2. 지금 자격 증명을 교체하라. 취약하거나 기본 또는 재사용된 비밀번호를 교체하되, 관리자 수준 계정부터 시작하라. 길고 고유한 패스프레이즈를 사용하라.
  3. 연결할 수 있는 사람을 제한하라. 특정 신뢰할 수 있는 주소에서만 접근을 허용하거나, 원격 관리를 위해 VPN 또는 유사한 사설 연결을 요구하라.
  4. 최소 권한을 적용하라. 애플리케이션과 사용자에게 필요한 권한만 부여하고, 사용하지 않는 데이터베이스 기능은 비활성화하라.
  5. 경고 신호를 주시하라. 반복된 로그인 실패, 예상치 못한 새 계정, 설명되지 않는 CPU 급증, 데이터베이스 서버의 낯선 프로세스는 모두 조사할 가치가 있다.
  6. 시스템을 최신 상태로 유지하고 모니터링하라. 서버에서 엔드포인트 보호를 실행하고 Windows와 SQL Server를 패치된 상태로 유지하라.
  7. 백업을 검토하라. 서버가 침해될 경우 재구축할 수 있도록 깨끗한 오프라인 백업이 있는지 확인하라.

핵심 요점

이 Microsoft SQL Server Gh0st RAT 공격은 고급 속임수가 아니라 기본적인 노출 때문에 성공하며, 이는 또한 대부분 예방 가능하다는 것을 의미한다. 어떤 SQL Server 인스턴스가 인터넷에서 접근 가능한지 감사하고, 오늘 취약한 자격 증명을 교체하며, 접근을 필요한 것만으로 제한하라. 공격자들이 값싼 접근을 악용해 컴퓨팅 파워를 탈취하는 방식에 대한 더 넓은 시각은 Railway 해킹과 110만 달러 규모의 탈취된 AI 컴퓨팅에 대한 우리의 보고서를 읽어라.