В новом отчёте описывается атака с использованием Gh0st RAT через Microsoft SQL Server, в ходе которой хакеры нацеливаются на слабые пароли баз данных, а затем используют собственные функции базы данных для запуска вредоносного ПО на серверах Windows. Полезные нагрузки — это майнер криптовалюты Monero и Gh0st RAT, троян удалённого доступа. Эта комбинация превращает одну плохо защищённую базу данных одновременно в машину для заработка для атакующего и в окно в сеть жертвы.

Исходный отчёт краток, поэтому данная статья придерживается того, что в нём сказано: злоумышленники атакуют слабые пароли Microsoft SQL Server и опираются на функциональность базы данных для выполнения своего вредоносного ПО. Однако практические выводы ясны и применимы к любой организации, использующей SQL Server.

Как злоумышленники превращают SQL Server в средство запуска вредоносного ПО

Атака начинается с подбора. Согласно отчёту, хакеры нацеливаются на серверы, защищённые слабыми паролями. Получив доступ, им не нужно эксплуатировать экзотическую уязвимость. Вместо этого они используют функции, являющиеся частью самой базы данных, чтобы запустить вредоносное ПО на лежащей в основе машине Windows.

Именно это делает данную технику достойной понимания. Сервер базы данных предназначен для выполнения команд и работы с файлами от имени администраторов и приложений. Когда атакующий обладает действительными учётными данными, эта легитимная функциональность может быть обращена на запуск программ. Поскольку активность проходит через доверенную службу, она может выглядеть менее подозрительно, чем типичная загрузка вредоносного ПО.

Что делают Gh0st RAT и майнер Monero после установки

Две полезные нагрузки служат разным целям.

Майнер Monero предназначен для захвата ресурсов. Он использует вычислительную мощность сервера для добычи криптовалюты для атакующего, в то время как жертва оплачивает электроэнергию и терпит замедления. Сервер базы данных, который внезапно начинает перегреваться или работать медленно, может быть признаком такого злоупотребления.

Gh0st RAT предназначен для доступа. Это троян удалённого доступа — тип вредоносного ПО, который даёт атакующему удалённый контроль над заражённой машиной Windows. Инструменты удалённого доступа такого рода обычно используются для слежки и кражи данных, что имеет значение на сервере, который может находиться рядом с конфиденциальными деловыми записями.

Вместе полезные нагрузки показывают, как злоумышленники могут немедленно монетизировать компрометацию с помощью майнинга, сохраняя при этом долгосрочное присутствие через троян. Кража ресурсов такого рода не уникальна для майнингового вредоносного ПО; наш материал о взломе Railway, где 1,1 млн долларов в виде вычислительных ресурсов для ИИ были украдены через фальшивые аккаунты, показывает схожую схему, когда злоумышленники эксплуатируют дешёвый доступ, чтобы сжигать чужие вычислительные ресурсы.

Почему слабые пароли и открытые экземпляры — это точка входа

Ничто в этой атаке не зависит от изощрённой уязвимости нулевого дня. Она зависит от пароля, который можно угадать. Брутфорс — перебор множества паролей, пока один не сработает, — успешен против учётных записей с простыми или повторно используемыми учётными данными, и он гораздо эффективнее, когда база данных доступна из интернета.

Два условия делают сервер лёгкой мишенью:

  • Слабые или стандартные учётные данные для учётных записей базы данных, особенно обладающих высокими привилегиями.
  • Доступность из интернета, что позволяет любому пытаться входить в систему массово, не находясь при этом внутри сети.

Устраните любое из этих условий — и задача атакующего станет намного сложнее. Устраните оба — и этот конкретный путь атаки в значительной степени закрывается.

Что это значит для вас

Если вы используете Microsoft SQL Server — будь то для бизнес-приложения, платёжной системы или небольшого внутреннего инструмента, — это напоминание о том, что базы данных часто настраиваются один раз, а затем забываются. Заброшенный экземпляр с простым паролем — именно то, что ищут такие кампании.

Если вы не администратор, вывод всё равно актуален. Используемые вами сервисы зависят от подобных баз данных, и компрометация может привести к захвату производительности и раскрытию данных. Спросите вашего ИТ-провайдера или поставщика о том, как ограничивается и контролируется доступ к базе данных.

Контрольный список безопасности для администраторов и малого бизнеса

Используйте этот список как отправную точку для укрепления защиты SQL Server от атак такого рода:

  1. Найдите свои открытые экземпляры. Проверьте, доступен ли какой-либо SQL Server из интернета. Если это не требуется, заблокируйте его на межсетевом экране.
  2. Немедленно смените учётные данные. Замените слабые, стандартные или повторно используемые пароли, начиная с учётных записей уровня администратора. Используйте длинные уникальные парольные фразы.
  3. Ограничьте, кто может подключаться. Разрешайте доступ только с определённых доверенных адресов или требуйте VPN либо аналогичное частное соединение для удалённого администрирования.
  4. Применяйте принцип наименьших привилегий. Давайте приложениям и пользователям только те разрешения, которые им нужны, и отключайте неиспользуемые функции базы данных.
  5. Следите за предупреждающими признаками. Повторяющиеся неудачные входы, неожиданные новые учётные записи, необъяснимые скачки загрузки процессора и незнакомые процессы на сервере базы данных — всё это заслуживает расследования.
  6. Поддерживайте системы в актуальном состоянии и под наблюдением. Запускайте защиту конечных точек на сервере и своевременно устанавливайте обновления Windows и SQL Server.
  7. Проверяйте резервные копии. Убедитесь, что у вас есть чистые автономные резервные копии, чтобы восстановить сервер в случае его компрометации.

Главное

Эта атака с Gh0st RAT через Microsoft SQL Server succeeds благодаря базовой открытости, а не продвинутым уловкам, что также означает, что её в значительной степени можно предотвратить. Проведите аудит того, какие экземпляры SQL Server доступны из интернета, смените слабые учётные данные сегодня и ограничьте доступ только необходимым. Для более широкого взгляда на то, как злоумышленники эксплуатируют дешёвый доступ для кражи вычислительной мощности, читайте наш отчёт о взломе Railway и его 1,1 млн долларов в украденных вычислительных ресурсах для ИИ.