En ny rapport beskriver en Gh0st RAT-attack mot Microsoft SQL Server där hackare riktar in sig på svaga databaslösenord och sedan använder databasens egna funktioner för att köra skadlig kod på Windows-servrar. Payloadsen är en Monero-kryptovalutagruvare och Gh0st RAT, en trojan för fjärråtkomst. Kombinationen förvandlar en dåligt skyddad databas till både en pengamaskin för angriparen och ett fönster in i offrets nätverk.

Källrapporten är kortfattad, så den här artikeln håller sig till vad den anger: angriparna går efter svaga lösenord för Microsoft SQL Server, och de förlitar sig på databasfunktioner för att köra sin skadliga kod. De praktiska lärdomarna är dock tydliga och gäller för alla organisationer som kör SQL Server.

Hur angripare förvandlar SQL Server till en startplattform för skadlig kod

Attacken börjar med gissningar. Enligt rapporten riktar hackarna in sig på servrar som skyddas av svaga lösenord. När de väl är inne behöver de inte utnyttja en exotisk sårbarhet. Istället använder de funktioner som är en del av databasen själv för att få skadlig kod att köras på den underliggande Windows-maskinen.

Det är detta som gör tekniken värd att förstå. En databasserver är avsedd att köra kommandon och hantera filer för administratörers och programs räkning. När en angripare har giltiga inloggningsuppgifter kan den legitima funktionaliteten vändas till att starta program. Eftersom aktiviteten körs genom en betrodd tjänst kan den verka mindre misstänkt än en typisk nedladdning av skadlig kod.

Vad Gh0st RAT och Monero-gruvaren gör när de väl är installerade

De två payloadsen tjänar olika syften.

Monero-gruvaren handlar om resurskapning. Den använder serverns processorkraft för att gräva kryptovaluta åt angriparen, medan offret betalar elen och får stå ut med nedgångarna. En databasserver som plötsligt går varm eller blir trög kan vara ett tecken på den här typen av missbruk.

Gh0st RAT handlar om åtkomst. Det är en trojan för fjärråtkomst, en typ av skadlig kod som ger en angripare fjärrkontroll över en infekterad Windows-maskin. Verktyg för fjärråtkomst av det här slaget används vanligtvis för övervakning och datastöld, vilket spelar roll på en server som kan ligga nära känsliga affärsregister.

Tillsammans visar payloadsen hur angripare omedelbart kan tjäna pengar på en kompromiss genom gruvdrift samtidigt som de behåller ett långsiktigt fotfäste genom trojanen. Resursstöld av det här slaget är inte unik för gruvdriftskadlig kod; vår rapportering om Railway-hacket, där AI-datorkraft till ett värde av 1,1 miljoner dollar stals via falska konton, visar ett liknande mönster där angripare utnyttjar billig åtkomst för att bränna någon annans datorkraft.

Varför svaga lösenord och exponerade instanser är ingångspunkten

Ingenting i den här attacken bygger på en sofistikerad zero-day. Den bygger på ett lösenord som går att gissa. Brute force, att prova många lösenord tills ett fungerar, lyckas mot konton med enkla eller återanvända inloggningsuppgifter, och det är betydligt effektivare när databasen nås från internet.

Två förhållanden gör en server till ett enkelt mål:

  • Svaga eller standardmässiga inloggningsuppgifter för databaskonton, särskilt konton med höga privilegier.
  • Exponering mot internet, vilket låter vem som helst försöka logga in i stor skala utan att redan befinna sig i nätverket.

Ta bort endera och angriparens arbete blir mycket svårare. Ta bort båda och den här specifika attackvägen stängs i stort sett.

Vad detta innebär för dig

Om du kör Microsoft SQL Server, vare sig det är för en affärsapplikation, ett kassasystem eller ett litet internt verktyg, är detta en påminnelse om att databaser ofta sätts upp en gång och sedan glöms bort. En försummad instans med ett enkelt lösenord är precis vad dessa kampanjer letar efter.

Om du inte är administratör är slutsatsen fortfarande relevant. Tjänsterna du använder är beroende av databaser som dessa, och en kompromiss kan leda till kapad prestanda och röjda data. Fråga din IT-leverantör eller leverantör hur databasåtkomst begränsas och övervakas.

Säkerhetschecklista för administratörer och småföretag

Använd den här listan som en utgångspunkt för att härda SQL Server mot den här typen av attack:

  1. Hitta dina exponerade instanser. Kontrollera om någon SQL Server nås från internet. Om den inte behöver det, blockera den i brandväggen.
  2. Byt inloggningsuppgifter nu. Ersätt svaga, standardmässiga eller återanvända lösenord, med början i konton på administratörsnivå. Använd långa, unika lösenfraser.
  3. Begränsa vem som kan ansluta. Tillåt åtkomst endast från specifika betrodda adresser, eller kräv VPN eller liknande privat anslutning för fjärradministration.
  4. Tillämpa minsta privilegium. Ge program och användare endast de behörigheter de behöver, och inaktivera databasfunktioner du inte använder.
  5. Håll utkik efter varningstecken. Upprepade misslyckade inloggningar, oväntade nya konton, oförklarliga CPU-toppar och okända processer på en databasserver förtjänar alla att undersökas.
  6. Håll systemen uppdaterade och övervakade. Kör slutpunktskydd på servern och håll Windows och SQL Server patchade.
  7. Granska säkerhetskopior. Se till att du har rena säkerhetskopior offline så att du kan bygga upp en server igen om den komprometteras.

Slutsatsen

Den här Gh0st RAT-attacken mot Microsoft SQL Server lyckas på grund av grundläggande exponering, inte avancerat trick, vilket också innebär att den till stor del går att förebygga. Granska vilka SQL Server-instanser som nås från internet, rotera svaga inloggningsuppgifter idag och begränsa åtkomsten till endast det nödvändiga. För en bredare bild av hur angripare utnyttjar billig åtkomst för att stjäla datorkraft, läs vår rapport om Railway-hacket och dess 1,1 miljoner dollar i stulen AI-datorkraft.