Um novo relatório descreve um ataque Gh0st RAT a um Microsoft SQL Server no qual hackers visam senhas de banco de dados fracas e então usam recursos do próprio banco de dados para executar malware em servidores Windows. Os payloads são um minerador de criptomoeda Monero e o Gh0st RAT, um trojan de acesso remoto. A combinação transforma um banco de dados mal protegido tanto em uma máquina de fazer dinheiro para o atacante quanto em uma janela para a rede da vítima.
O relatório de origem é breve, então este artigo se atém ao que ele afirma: os atacantes buscam senhas fracas do Microsoft SQL Server e se apoiam na funcionalidade do banco de dados para executar seu malware. As lições práticas, no entanto, são claras e se aplicam a qualquer organização que opera SQL Server.
Como os atacantes transformam o SQL Server em um lançador de malware
O ataque começa com adivinhação. Segundo o relatório, os hackers visam servidores protegidos por senhas fracas. Uma vez que entram, eles não precisam explorar uma falha exótica. Em vez disso, usam recursos que fazem parte do próprio banco de dados para colocar malware em execução na máquina Windows subjacente.
É isso que torna a técnica digna de compreensão. Um servidor de banco de dados existe para executar comandos e lidar com arquivos em nome de administradores e aplicações. Quando um atacante possui credenciais válidas, essa funcionalidade legítima pode ser voltada para a execução de programas. Como a atividade ocorre por meio de um serviço confiável, ela pode parecer menos suspeita do que um download típico de malware.
O que o Gh0st RAT e o minerador de Monero fazem depois de instalados
Os dois payloads servem a objetivos diferentes.
O minerador de Monero tem a ver com sequestro de recursos. Ele usa o poder de processamento do servidor para minerar criptomoeda para o atacante, enquanto a vítima paga a eletricidade e absorve as lentidões. Um servidor de banco de dados que de repente esquenta ou fica lento pode ser um sinal desse tipo de abuso.
O Gh0st RAT tem a ver com acesso. É um trojan de acesso remoto, um tipo de malware que dá ao atacante controle remoto de uma máquina Windows infectada. Ferramentas de acesso remoto desse tipo são geralmente usadas para vigilância e roubo de dados, o que importa em um servidor que pode estar próximo de registros comerciais sensíveis.
Juntos, os payloads mostram como os atacantes podem monetizar um comprometimento imediatamente com mineração, enquanto mantêm uma posição de longo prazo por meio do trojan. O roubo de recursos desse tipo não é exclusivo de malware de mineração; nossa cobertura do hack da Railway, em que US$ 1,1 milhão em computação de IA foi roubado por meio de contas falsas, mostra um padrão semelhante de atacantes explorando acesso barato para consumir os recursos computacionais de outra pessoa.
Por que senhas fracas e instâncias expostas são o ponto de entrada
Nada neste ataque depende de um zero-day sofisticado. Depende de uma senha que pode ser adivinhada. A força bruta, tentar muitas senhas até que uma funcione, tem sucesso contra contas com credenciais simples ou reutilizadas, e é muito mais eficaz quando o banco de dados é acessível pela internet.
Duas condições tornam um servidor um alvo fácil:
- Credenciais fracas ou padrão em contas de banco de dados, especialmente as de alto privilégio.
- Exposição à internet, que permite a qualquer pessoa tentar logins em escala sem já estar dentro da rede.
Remova qualquer uma das duas e o trabalho do atacante fica muito mais difícil. Remova ambas e esse caminho de ataque específico se fecha em grande parte.
O que isso significa para você
Se você opera Microsoft SQL Server, seja para uma aplicação de negócios, um sistema de ponto de venda ou uma pequena ferramenta interna, este é um lembrete de que bancos de dados muitas vezes são configurados uma vez e depois esquecidos. Uma instância negligenciada com uma senha simples é exatamente o que essas campanhas procuram.
Se você não é administrador, a conclusão ainda é relevante. Os serviços que você usa dependem de bancos de dados como esses, e um comprometimento pode levar a desempenho sequestrado e dados expostos. Pergunte ao seu provedor de TI ou fornecedor como o acesso ao banco de dados é restrito e monitorado.
Lista de verificação de segurança para administradores e pequenas empresas
Use esta lista como ponto de partida para fortalecer o SQL Server contra esse tipo de ataque:
- Encontre suas instâncias expostas. Verifique se algum SQL Server é acessível pela internet. Se não precisar ser, bloqueie-o no firewall.
- Rotacione as credenciais agora. Substitua senhas fracas, padrão ou reutilizadas, começando pelas contas de nível administrativo. Use frases-senha longas e únicas.
- Limite quem pode se conectar. Permita acesso apenas de endereços confiáveis específicos, ou exija uma VPN ou conexão privada semelhante para administração remota.
- Aplique o menor privilégio. Dê a aplicações e usuários apenas as permissões de que precisam, e desative recursos do banco de dados que você não usa.
- Fique atento a sinais de alerta. Logins falhos repetidos, novas contas inesperadas, picos de CPU inexplicáveis e processos desconhecidos em um servidor de banco de dados merecem investigação.
- Mantenha os sistemas atualizados e monitorados. Execute proteção de endpoint no servidor e mantenha o Windows e o SQL Server com patches aplicados.
- Revise os backups. Certifique-se de ter backups limpos e offline para poder reconstruir um servidor se ele for comprometido.
A conclusão
Este ataque Gh0st RAT ao Microsoft SQL Server tem sucesso por causa de exposição básica, não de truques avançados, o que também significa que é em grande parte prevenível. Audite quais instâncias de SQL Server são acessíveis pela internet, rotacione credenciais fracas hoje e restrinja o acesso apenas ao necessário. Para uma visão mais ampla de como atacantes exploram acesso barato para roubar poder computacional, leia nosso relatório sobre o hack da Railway e seus US$ 1,1 milhão em computação de IA roubada.
