W nowym raporcie opisano atak Gh0st RAT na Microsoft SQL Server, w którym hakerzy atakują słabe hasła do baz danych, a następnie wykorzystują funkcje samej bazy danych do uruchomienia złośliwego oprogramowania na serwerach Windows. Ładunki to koparka kryptowaluty Monero oraz Gh0st RAT, trojan zdalnego dostępu. To połączenie zamienia jedną słabo chronioną bazę danych zarówno w maszynę do zarabiania pieniędzy dla atakującego, jak i w okno do sieci ofiary.

Źródłowy raport jest zwięzły, więc ten artykuł trzyma się tego, co w nim podano: atakujący polują na słabe hasła do Microsoft SQL Server i wykorzystują funkcjonalność bazy danych do uruchomienia swojego złośliwego oprogramowania. Praktyczne wnioski są jednak jasne i dotyczą każdej organizacji korzystającej z SQL Server.

Jak atakujący zmieniają SQL Server w narzędzie do uruchamiania złośliwego oprogramowania

Atak zaczyna się od zgadywania. Według raportu hakerzy atakują serwery chronione słabymi hasłami. Po dostaniu się do środka nie muszą wykorzystywać egzotycznej luki. Zamiast tego używają funkcji będących częścią samej bazy danych, aby uruchomić złośliwe oprogramowanie na leżącej u podstaw maszynie Windows.

To właśnie czyni tę technikę wartą zrozumienia. Serwer bazy danych jest przeznaczony do wykonywania poleceń i obsługi plików w imieniu administratorów i aplikacji. Gdy atakujący posiada ważne poświadczenia, ta legalna funkcjonalność może zostać obrócona przeciwko ofierze i wykorzystana do uruchamiania programów. Ponieważ działanie przebiega przez zaufaną usługę, może wyglądać mniej podejrzanie niż typowe pobranie złośliwego oprogramowania.

Co robią Gh0st RAT i koparka Monero po instalacji

Oba ładunki służą różnym celom.

Koparka Monero służy do przejmowania zasobów. Wykorzystuje moc obliczeniową serwera do wydobywania kryptowaluty dla atakującego, podczas gdy ofiara płaci za prąd i ponosi spowolnienia. Serwer bazy danych, który nagle zaczyna się przegrzewać lub działać ospale, może być oznaką tego rodzaju nadużycia.

Gh0st RAT służy do uzyskania dostępu. To trojan zdalnego dostępu, rodzaj złośliwego oprogramowania, który daje atakującemu zdalną kontrolę nad zainfekowaną maszyną Windows. Narzędzia zdalnego dostępu tego rodzaju są zazwyczaj wykorzystywane do nadzoru i kradzieży danych, co ma znaczenie na serwerze, który może znajdować się blisko wrażliwych danych biznesowych.

Razem ładunki pokazują, jak atakujący mogą natychmiast monetyzować kompromitację poprzez kopanie kryptowaluty, jednocześnie utrzymując długoterminową obecność za pomocą trojana. Kradzież zasobów tego rodzaju nie jest unikalna dla złośliwego oprogramowania kopiącego kryptowaluty; nasz artykuł o ataku na Railway, gdzie 1,1 mln dolarów w mocy obliczeniowej AI zostało skradzione przez fałszywe konta, pokazuje podobny wzorzec atakujących wykorzystujących tani dostęp do spalania cudzych zasobów obliczeniowych.

Dlaczego słabe hasła i wystawione instancje są punktem wejścia

Nic w tym ataku nie opiera się na zaawansowanym zero-day. Opiera się na haśle, które można odgadnąć. Atak siłowy, polegający na próbowaniu wielu haseł, aż jedno zadziała, jest skuteczny przeciwko kontom z prostymi lub ponownie używanymi poświadczeniami, i jest znacznie bardziej efektywny, gdy baza danych jest dostępna z internetu.

Dwa warunki czynią serwer łatwym celem:

  • Słabe lub domyślne poświadczenia na kontach baz danych, zwłaszcza tych o wysokich uprawnieniach.
  • Wystawienie na internet, które pozwala każdemu na próby logowania na masową skalę bez konieczności przebywania w sieci.

Usuń którykolwiek z nich, a zadanie atakującego staje się znacznie trudniejsze. Usuń oba, a ta konkretna ścieżka ataku w dużej mierze się zamyka.

Co to oznacza dla Ciebie

Jeśli prowadzisz Microsoft SQL Server, czy to dla aplikacji biznesowej, systemu punktu sprzedaży, czy małego narzędzia wewnętrznego, to przypomnienie, że bazy danych są często konfigurowane raz i potem zapominane. Zaniedbana instancja z prostym hasłem to dokładnie to, czego szukają takie kampanie.

Jeśli nie jesteś administratorem, wniosek jest nadal istotny. Usługi, z których korzystasz, zależą od takich baz danych, a kompromitacja może prowadzić do przejęcia wydajności i ujawnienia danych. Zapytaj swojego dostawcę IT lub dostawcę oprogramowania, w jaki sposób dostęp do bazy danych jest ograniczany i monitorowany.

Lista kontrolna bezpieczeństwa dla administratorów i małych firm

Użyj tej listy jako punktu wyjścia do zabezpieczenia SQL Server przed tego rodzaju atakiem:

  1. Znajdź swoje wystawione instancje. Sprawdź, czy jakikolwiek SQL Server jest dostępny z internetu. Jeśli nie musi być, zablokuj go na zaporze sieciowej.
  2. Natychmiast zmień poświadczenia. Zastąp słabe, domyślne lub ponownie używane hasła, zaczynając od kont na poziomie administratora. Używaj długich, unikalnych fraz hasłowych.
  3. Ogranicz, kto może się łączyć. Zezwalaj na dostęp tylko z określonych zaufanych adresów lub wymagaj VPN bądź podobnego prywatnego połączenia do zdalnej administracji.
  4. Stosuj zasadę najmniejszych uprawnień. Przyznawaj aplikacjom i użytkownikom tylko niezbędne uprawnienia i wyłączaj funkcje bazy danych, których nie używasz.
  5. Uważaj na oznaki ostrzegawcze. Powtarzające się nieudane logowania, nieoczekiwane nowe konta, niewyjaśnione skoki użycia procesora i nieznane procesy na serwerze bazy danych — wszystko to wymaga zbadania.
  6. Utrzymuj systemy w aktualności i monitoruj je. Uruchamiaj ochronę punktów końcowych na serwerze i utrzymuj aktualizacje Windows i SQL Server.
  7. Przeglądaj kopie zapasowe. Upewnij się, że masz czyste, offline'owe kopie zapasowe, aby móc odbudować serwer w razie kompromitacji.

Podsumowanie

Ten atak Gh0st RAT na Microsoft SQL Server udaje się z powodu podstawowego wystawienia, a nie zaawansowanych sztuczek, co oznacza, że jest w dużej mierze możliwy do zapobieżenia. Przeprowadź audyt, które instancje SQL Server są dostępne z internetu, zmień słabe poświadczenia już dziś i ogranicz dostęp tylko do tego, co niezbędne. Aby uzyskać szersze spojrzenie na to, jak atakujący wykorzystują tani dostęp do kradzieży mocy obliczeniowej, przeczytaj nasz raport o ataku na Railway i jego 1,1 mln dolarów w skradzionej mocy obliczeniowej AI.