Een nieuw rapport beschrijft een Microsoft SQL Server Gh0st RAT-aanval waarbij hackers zich richten op zwakke databasewachtwoorden en vervolgens de eigen functies van de database gebruiken om malware op Windows-servers uit te voeren. De payloads zijn een Monero-cryptominer en Gh0st RAT, een remote access trojan. De combinatie verandert één slecht beveiligde database in zowel een geldmachine voor de aanvaller als een venster op het netwerk van het slachtoffer.
Het bronrapport is kort, dus dit artikel houdt zich aan wat er staat: de aanvallers jagen op zwakke Microsoft SQL Server-wachtwoorden en leunen op databasefunctionaliteit om hun malware uit te voeren. De praktische lessen zijn echter duidelijk en gelden voor elke organisatie die SQL Server draait.
Hoe aanvallers SQL Server omtoveren tot een malware-lanceringsplatform
De aanval begint met gissen. Volgens het rapport richten de hackers zich op servers die door zwakke wachtwoorden worden beschermd. Zodra ze binnen zijn, hoeven ze geen exotische kwetsbaarheid uit te buiten. In plaats daarvan gebruiken ze functies die deel uitmaken van de database zelf om malware aan de praat te krijgen op de onderliggende Windows-machine.
Dat is wat de techniek de moeite van het begrijpen waard maakt. Een databaseserver is bedoeld om opdrachten uit te voeren en bestanden te verwerken namens beheerders en applicaties. Wanneer een aanvaller geldige inloggegevens heeft, kan die legitieme functionaliteit worden ingezet om programma's te starten. Omdat de activiteit via een vertrouwde service verloopt, kan het minder verdacht lijken dan een typische malwaredownload.
Wat Gh0st RAT en de Monero-miner doen zodra ze zijn geïnstalleerd
De twee payloads dienen verschillende doelen.
De Monero-miner draait om resource hijacking. Hij gebruikt de rekenkracht van de server om cryptocurrency voor de aanvaller te delven, terwijl het slachtoffer de elektriciteit betaalt en de vertragingen ondervindt. Een databaseserver die plotseling heet wordt of traag reageert, kan een teken zijn van dit soort misbruik.
Gh0st RAT draait om toegang. Het is een remote access trojan, een soort malware die een aanvaller op afstand controle geeft over een geïnfecteerde Windows-machine. Dit soort remote access-tools wordt over het algemeen gebruikt voor surveillance en datadiefstal, wat van belang is op een server die mogelijk dicht bij gevoelige bedrijfsgegevens staat.
Samen laten de payloads zien hoe aanvallers een compromis onmiddellijk kunnen verzilveren met mining, terwijl ze via de trojan een voet aan de grond houden op de langere termijn. Dit soort resourcediefstal is niet uniek voor miningmalware; onze berichtgeving over de Railway-hack, waarbij $1,1M aan AI-rekenkracht werd gestolen via nepaccounts, laat een vergelijkbaar patroon zien waarbij aanvallers goedkope toegang misbruiken om andermans rekenresources te verbruiken.
Waarom zwakke wachtwoorden en blootgestelde instances het toegangspunt zijn
Niets in deze aanval is afhankelijk van een geavanceerde zero-day. Het is afhankelijk van een wachtwoord dat te raden is. Brute-forcing, het blijven proberen van wachtwoorden tot er één werkt, slaagt bij accounts met eenvoudige of hergebruikte inloggegevens, en het is veel effectiever wanneer de database vanaf het internet bereikbaar is.
Twee omstandigheden maken een server tot een gemakkelijk doelwit:
- Zwakke of standaard inloggegevens op databaseaccounts, vooral accounts met hoge privileges.
- Blootstelling aan het internet, waardoor iedereen op grote schaal inlogpogingen kan doen zonder al binnen het netwerk te zijn.
Haal één van de twee weg en het werk van de aanvaller wordt een stuk moeilijker. Haal beide weg en dit specifieke aanvalspad wordt grotendeels gesloten.
Wat dit voor jou betekent
Als je Microsoft SQL Server draait, of dat nu voor een bedrijfsapplicatie, een kassasysteem of een kleine interne tool is, dan is dit een herinnering dat databases vaak één keer worden opgezet en daarna vergeten. Een verwaarloosde instance met een eenvoudig wachtwoord is precies waar deze campagnes naar zoeken.
Als je geen beheerder bent, is de les nog steeds relevant. De diensten die je gebruikt, zijn afhankelijk van dit soort databases, en een compromis kan leiden tot gekaapte prestaties en blootgestelde gegevens. Vraag je IT-provider of leverancier hoe database toegang wordt beperkt en gemonitord.
Beveiligingschecklist voor beheerders en kleine bedrijven
Gebruik deze lijst als uitgangspunt om SQL Server te harden tegen dit soort aanvallen:
- Vind je blootgestelde instances. Controleer of een SQL Server vanaf het internet bereikbaar is. Als dat niet nodig is, blokkeer het dan bij de firewall.
- Roteer nu inloggegevens. Vervang zwakke, standaard- of hergebruikte wachtwoorden, te beginnen met accounts op beheerdersniveau. Gebruik lange, unieke wachtzinnen.
- Beperk wie kan verbinden. Sta toegang alleen toe vanaf specifieke vertrouwde adressen, of vereis een VPN of vergelijkbare privéverbinding voor remote beheer.
- Pas least privilege toe. Geef applicaties en gebruikers alleen de rechten die ze nodig hebben, en schakel databasefuncties uit die je niet gebruikt.
- Let op waarschuwingssignalen. Herhaalde mislukte logins, onverwachte nieuwe accounts, onverklaarbare CPU-pieken en onbekende processen op een databaseserver verdienen allemaal onderzoek.
- Houd systemen up-to-date en gemonitord. Draai endpointbeveiliging op de server en houd Windows en SQL Server gepatcht.
- Controleer back-ups. Zorg dat je schone, offline back-ups hebt zodat je een server opnieuw kunt opbouwen als deze gecompromitteerd is.
De kern van de zaak
Deze Microsoft SQL Server Gh0st RAT-aanval slaagt door basale blootstelling, niet door geavanceerde trucs, wat ook betekent dat hij grotendeels te voorkomen is. Controleer welke SQL Server-instances vanaf het internet bereikbaar zijn, roteer vandaag nog zwakke inloggegevens en beperk toegang tot alleen wat noodzakelijk is. Voor een bredere blik op hoe aanvallers goedkope toegang misbruiken om rekenkracht te stelen, lees ons rapport over de Railway-hack en de $1,1M aan gestolen AI-rekenkracht.
