En ny rapport beskriver et Gh0st RAT-angrep mot Microsoft SQL Server der hackere retter seg mot svake databasepassord og deretter bruker databasens egne funksjoner til å kjøre skadevare på Windows-servere. Nyttelasten er en Monero-kryptovalutaminer og Gh0st RAT, en trojaner for ekstern tilgang. Kombinasjonen gjør én dårlig beskyttet database om til både en pengemaskin for angriperen og et vindu inn i offerets nettverk.
Kilderapporten er kort, så denne artikkelen holder seg til det den sier: angriperne går etter svake passord for Microsoft SQL Server, og de lener seg på databasefunksjonalitet for å kjøre skadevaren sin. De praktiske lærdommene er likevel klare og gjelder for enhver organisasjon som kjører SQL Server.
Hvordan angripere gjør SQL Server om til en skadevareutskyter
Angrepet starter med gjetting. Ifølge rapporten retter hackerne seg mot servere som er beskyttet av svake passord. Når de først er inne, trenger de ikke utnytte en eksotisk sårbarhet. I stedet bruker de funksjoner som er en del av selve databasen, for å få skadevare til å kjøre på den underliggende Windows-maskinen.
Det er dette som gjør teknikken verdt å forstå. En databaseserver er ment å utføre kommandoer og håndtere filer på vegne av administratorer og applikasjoner. Når en angriper har gyldige påloggingsdetaljer, kan den legitime funksjonaliteten vendes mot å starte programmer. Fordi aktiviteten kjører gjennom en klarert tjeneste, kan den se mindre mistenkelig ut enn en typisk skadevarenedlasting.
Hva Gh0st RAT og Monero-mineren gjør når de er installert
De to nyttelastene tjener ulike formål.
Monero-mineren handler om ressurskapring. Den bruker serverens prosessorkraft til å mine kryptovaluta for angriperen, mens offeret betaler strømregningen og absorberer nedgangen i ytelse. En databaseserver som plutselig går varm eller blir treg, kan være et tegn på denne typen misbruk.
Gh0st RAT handler om tilgang. Det er en trojaner for ekstern tilgang, en type skadevare som gir en angriper ekstern kontroll over en infisert Windows-maskin. Verktøy for ekstern tilgang av denne typen brukes vanligvis til overvåking og datatyveri, noe som betyr mye på en server som kan ligge nær sensitive forretningsdata.
Sammen viser nyttelastene hvordan angripere kan tjene penger på et kompromiss umiddelbart med mining, mens de beholder et langsiktig fotfeste gjennom trojaneren. Ressurstyveri av denne typen er ikke unikt for mining-skadevare; vår dekning av Railway-hacket, der 1,1 millioner dollar i AI-datakraft ble stjålet via falske kontoer, viser et lignende mønster der angripere utnytter billig tilgang til å brenne andres datakraft.
Hvorfor svake passord og eksponerte instanser er inngangsporten
Ingenting i dette angrepet avhenger av en sofistikert zero-day. Det avhenger av et passord som kan gjettes. Brute-forcing, det å prøve mange passord til ett fungerer, lykkes mot kontoer med enkle eller gjenbrukte påloggingsdetaljer, og det er langt mer effektivt når databasen er tilgjengelig fra internett.
To forhold gjør en server til et enkelt mål:
- Svake eller standard påloggingsdetaljer på databasekontoer, spesielt kontoer med høye privilegier.
- Eksponering mot internett, som lar hvem som helst forsøke pålogging i stor skala uten allerede å være inne i nettverket.
Fjern ett av dem, og angriperens jobb blir mye vanskeligere. Fjern begge, og denne spesifikke angrepsveien stenges i stor grad.
Hva dette betyr for deg
Hvis du kjører Microsoft SQL Server, enten for en forretningsapplikasjon, et kassesystem eller et lite internt verktøy, er dette en påminnelse om at databaser ofte settes opp én gang og deretter glemmes. En forsømt instans med et enkelt passord er nøyaktig det disse kampanjene ser etter.
Hvis du ikke er administrator, er lærdommen fortsatt relevant. Tjenestene du bruker, er avhengige av databaser som disse, og et kompromiss kan føre til kapret ytelse og eksponerte data. Spør IT-leverandøren din eller leverandøren om hvordan databasetilgang begrenses og overvåkes.
Sikkerhetssjekkliste for administratorer og små bedrifter
Bruk denne listen som et utgangspunkt for å herde SQL Server mot denne typen angrep:
- Finn dine eksponerte instanser. Sjekk om noen SQL Server er tilgjengelig fra internett. Hvis den ikke trenger å være det, blokker den i brannmuren.
- Roter påloggingsdetaljer nå. Erstatt svake, standard eller gjenbrukte passord, og start med kontoer på administratornivå. Bruk lange, unike passfraser.
- Begrens hvem som kan koble til. Tillat tilgang bare fra spesifikke klarerte adresser, eller krev VPN eller lignende privat tilkobling for ekstern administrasjon.
- Bruk minste privilegium. Gi applikasjoner og brukere bare de tillatelsene de trenger, og deaktiver databasefunksjoner du ikke bruker.
- Se etter varseltegn. Gjentatte mislykkede pålogginger, uventede nye kontoer, uforklarlige CPU-topper og ukjente prosesser på en databaseserver fortjener alle undersøkelse.
- Hold systemer oppdatert og overvåket. Kjør endepunktsbeskyttelse på serveren og hold Windows og SQL Server oppdatert.
- Gå gjennom sikkerhetskopier. Sørg for at du har rene, frakoblede sikkerhetskopier slik at du kan gjenoppbygge en server hvis den kompromitteres.
Konklusjonen
Dette Gh0st RAT-angrepet mot Microsoft SQL Server lykkes på grunn av grunnleggende eksponering, ikke avansert lureri, noe som også betyr at det i stor grad kan forebygges. Revider hvilke SQL Server-instanser som er tilgjengelige fra internett, roter svake påloggingsdetaljer i dag, og begrens tilgang til bare det som er nødvendig. For et bredere blikk på hvordan angripere utnytter billig tilgang til å stjele datakraft, les rapporten vår om Railway-hacket og dets 1,1 millioner dollar i stjålet AI-datakraft.
