Un nou raport descrie un atac Microsoft SQL Server cu Gh0st RAT în care hackerii vizează parole slabe ale bazelor de date și apoi folosesc funcționalitățile proprii ale bazei de date pentru a rula malware pe servere Windows. Payload-urile sunt un miner de criptomonedă Monero și Gh0st RAT, un troian de acces la distanță. Combinația transformă o singură bază de date slab protejată atât într-o mașină de făcut bani pentru atacator, cât și într-o fereastră către rețeaua victimei.

Raportul sursă este scurt, așa că acest articol se rezumă la ceea ce afirmă acesta: atacatorii vizează parole slabe Microsoft SQL Server și se bazează pe funcționalitatea bazei de date pentru a-și executa malware-ul. Lecțiile practice, însă, sunt clare și se aplică oricărei organizații care rulează SQL Server.

Cum transformă atacatorii SQL Server într-un lansator de malware

Atacul începe cu ghicirea. Potrivit raportului, hackerii vizează servere protejate de parole slabe. Odată ce intră, nu au nevoie să exploateze o vulnerabilitate exotică. În schimb, folosesc funcționalități care fac parte din baza de date însăși pentru a rula malware pe mașina Windows subiacentă.

Aceasta este ceea ce face tehnica demnă de înțeles. Un server de baze de date este menit să execute comenzi și să gestioneze fișiere în numele administratorilor și al aplicațiilor. Când un atacator deține credențiale valide, acea funcționalitate legitimă poate fi direcționată către lansarea de programe. Deoarece activitatea se desfășoară printr-un serviciu de încredere, poate părea mai puțin suspectă decât o descărcare tipică de malware.

Ce fac Gh0st RAT și minerul Monero odată instalați

Cele două payload-uri servesc scopuri diferite.

Minerul Monero vizează deturnarea resurselor. Folosește puterea de procesare a serverului pentru a mina criptomonedă pentru atacator, în timp ce victima plătește electricitatea și suportă încetinirile. Un server de baze de date care rulează brusc fierbinte sau lent poate fi un semn al acestui tip de abuz.

Gh0st RAT vizează accesul. Este un troian de acces la distanță, un tip de malware care oferă unui atacator controlul de la distanță al unei mașini Windows infectate. Instrumentele de acces la distanță de acest tip sunt în general folosite pentru supraveghere și furt de date, ceea ce contează pe un server care poate fi aproape de înregistrări de afaceri sensibile.

Împreună, payload-urile arată cum atacatorii pot monetiza imediat o compromitere prin minerit, păstrând în același timp o poziție pe termen lung prin troian. Furtul de resurse de acest tip nu este unic pentru malware-ul de minerit; reportajul nostru despre hack-ul Railway, unde 1,1 milioane de dolari în resurse de calcul AI au fost furate prin conturi false, arată un model similar de atacatori care exploatează accesul ieftin pentru a consuma resursele de calcul ale altcuiva.

De ce parolele slabe și instanțele expuse sunt punctul de intrare

Nimic din acest atac nu depinde de un zero-day sofisticat. Depinde de o parolă care poate fi ghicită. Forțarea brută, încercarea multor parole până când una funcționează, reușește împotriva conturilor cu credențiale simple sau reutilizate și este mult mai eficientă atunci când baza de date este accesibilă din internet.

Două condiții fac un server o țintă ușoară:

  • Credențiale slabe sau implicite pe conturile de bază de date, în special cele cu privilegii înalte.
  • Expunerea la internet, care permite oricui să încerce autentificări la scară largă fără a fi deja în rețea.

Elimină oricare dintre ele și treaba atacatorului devine mult mai dificilă. Elimină-le pe amândouă și această cale de atac particulară se închide în mare măsură.

Ce înseamnă acest lucru pentru tine

Dacă rulezi Microsoft SQL Server, fie pentru o aplicație de afaceri, un sistem de punct de vânzare sau un mic instrument intern, acesta este un memento că bazele de date sunt adesea configurate o dată și apoi uitate. O instanță neglijată cu o parolă simplă este exact ceea ce caută aceste campanii.

Dacă nu ești administrator, concluzia rămâne relevantă. Serviciile pe care le folosești depind de baze de date ca acestea, iar o compromitere poate duce la performanță deturnată și date expuse. Întreabă-ți furnizorul IT sau vânzătorul cum este restricționat și monitorizat accesul la baza de date.

Listă de verificare de securitate pentru administratori și întreprinderi mici

Folosește această listă ca punct de plecare pentru securizarea SQL Server împotriva acestui tip de atac:

  1. Găsește-ți instanțele expuse. Verifică dacă vreun SQL Server este accesibil din internet. Dacă nu trebuie să fie, blochează-l la firewall.
  2. Rotește credențialele acum. Înlocuiește parolele slabe, implicite sau reutilizate, începând cu conturile la nivel de administrator. Folosește fraze de acces lungi și unice.
  3. Limitează cine se poate conecta. Permite accesul doar de la adrese de încredere specifice sau solicită o VPN sau o conexiune privată similară pentru administrarea de la distanță.
  4. Aplică privilegiul minim. Oferă aplicațiilor și utilizatorilor doar permisiunile de care au nevoie și dezactivează funcționalitățile bazei de date pe care nu le folosești.
  5. Urmărește semnele de avertizare. Autentificările eșuate repetate, conturile noi neașteptate, vârfurile de CPU inexplicabile și procesele necunoscute pe un server de baze de date merită toate investigate.
  6. Menține sistemele actualizate și monitorizate. Rulează protecție endpoint pe server și menține Windows și SQL Server actualizate cu patch-uri.
  7. Revizuiește backup-urile. Asigură-te că ai backup-uri curate, offline, astfel încât să poți reconstrui un server dacă este compromis.

Concluzia

Acest atac Microsoft SQL Server cu Gh0st RAT reușește din cauza expunerii de bază, nu a unor trucuri avansate, ceea ce înseamnă de asemenea că este în mare măsură prevenibil. Auditează ce instanțe SQL Server sunt accesibile din internet, rotește credențialele slabe astăzi și restricționează accesul doar la ceea ce este necesar. Pentru o perspectivă mai amplă asupra modului în care atacatorii exploatează accesul ieftin pentru a fura putere de calcul, citește raportul nostru despre hack-ul Railway și cei 1,1 milioane de dolari în resurse de calcul AI furate.