รายงานฉบับใหม่บรรยายถึงการโจมตี Microsoft SQL Server ด้วย Gh0st RAT ซึ่งแฮกเกอร์เจาะจงเป้าหมายที่รหัสผ่านฐานข้อมูลที่อ่อนแอ แล้วใช้คุณสมบัติของฐานข้อมูลเองในการรันมัลแวร์บนเซิร์ฟเวอร์ Windows เพย์โหลดที่ใช้คือตัวขุดคริปโตเคอเรนซี Monero และ Gh0st RAT ซึ่งเป็นโทรจันเข้าถึงระยะไกล การผสมผสานนี้เปลี่ยนฐานข้อมูลหนึ่งแห่งที่ได้รับการป้องกันอย่างหละหลวมให้กลายเป็นทั้งเครื่องทำเงินสำหรับผู้โจมตีและเป็นช่องทางมองเข้าไปในเครือข่ายของเหยื่อ

รายงานต้นทางนั้นสั้น ดังนั้นบทความนี้จึงยึดตามสิ่งที่รายงานระบุไว้ คือ ผู้โจมตีมุ่งเป้าไปที่รหัสผ่าน Microsoft SQL Server ที่อ่อนแอ และพวกเขาใช้ฟังก์ชันการทำงานของฐานข้อมูลในการรันมัลแวร์ของตน อย่างไรก็ตาม บทเรียนในทางปฏิบัติมีความชัดเจนและใช้ได้กับทุกองค์กรที่ใช้งาน SQL Server

ผู้โจมตีเปลี่ยน SQL Server ให้เป็นตัวเรียกใช้มัลแวร์ได้อย่างไร

การโจมตีเริ่มต้นด้วยการเดา ตามรายงานระบุว่าแฮกเกอร์มุ่งเป้าไปที่เซิร์ฟเวอร์ที่ได้รับการป้องกันด้วยรหัสผ่านที่อ่อนแอ เมื่อพวกเขาเข้าถึงได้แล้ว พวกเขาไม่จำเป็นต้องใช้ช่องโหว่ที่แปลกพิเศษใด ๆ แต่กลับใช้คุณสมบัติที่เป็นส่วนหนึ่งของฐานข้อมูลเองในการทำให้มัลแวร์ทำงานบนเครื่อง Windows ที่อยู่เบื้องหลัง

นี่คือสิ่งที่ทำให้เทคนิคนี้ควรค่าแก่การทำความเข้าใจ เซิร์ฟเวอร์ฐานข้อมูลถูกออกแบบมาเพื่อรันคำสั่งและจัดการไฟล์ในนามของผู้ดูแลระบบและแอปพลิเคชัน เมื่อผู้โจมตีถือข้อมูลรับรองที่ถูกต้อง ฟังก์ชันการทำงานที่ชอบด้วยกฎหมายนั้นก็สามารถถูกเบี่ยงเบนไปใช้ในการเปิดโปรแกรมได้ เนื่องจากกิจกรรมนี้ดำเนินการผ่านบริการที่เชื่อถือได้ จึงอาจดูน่าสงสัยน้อยกว่าการดาวน์โหลดมัลแวร์ทั่วไป

Gh0st RAT และตัวขุด Monero ทำอะไรเมื่อถูกติดตั้งแล้ว

เพย์โหลดทั้งสองมีเป้าหมายที่แตกต่างกัน

ตัวขุด Monero เกี่ยวกับการยึดทรัพยากรการประมวลผล มันใช้พลังการประมวลผลของเซิร์ฟเวอร์ในการขุดคริปโตเคอเรนซีให้กับผู้โจมตี ขณะที่เหยื่อเป็นผู้จ่ายค่าไฟฟ้าและรับผลกระทบจากความช้า เซิร์ฟเวอร์ฐานข้อมูลที่อยู่ ๆ ก็ร้อนขึ้นหรือทำงานช้าลงอาจเป็นสัญญาณของการถูกใช้งานในลักษณะนี้

Gh0st RAT เกี่ยวกับการเข้าถึง มันเป็นโทรจันเข้าถึงระยะไกล ซึ่งเป็นมัลแวร์ประเภทหนึ่งที่ให้ผู้โจมตีควบคุมเครื่อง Windows ที่ติดเชื้อได้จากระยะไกล เครื่องมือเข้าถึงระยะไกลประเภทนี้โดยทั่วไปถูกใช้เพื่อการสอดส่องและขโมยข้อมูล ซึ่งมีความสำคัญบนเซิร์ฟเวอร์ที่อาจอยู่ใกล้กับบันทึกทางธุรกิจที่ละเอียดอ่อน

เมื่อรวมกัน เพย์โหลดเหล่านี้แสดงให้เห็นว่าผู้โจมตีสามารถสร้างรายได้จากการบุกรุกได้ทันทีด้วยการขุด ขณะเดียวกันก็รักษาที่มั่นระยะยาวผ่านโทรจัน การขโมยทรัพยากรในลักษณะนี้ไม่ได้มีเฉพาะกับมัลแวร์ขุดเท่านั้น การรายงานของเราเกี่ยวกับการแฮก Railway ซึ่งมีการขโมยพลังการประมวลผล AI มูลค่า 1.1 ล้านดอลลาร์ผ่านบัญชีปลอม แสดงรูปแบบที่คล้ายกันของผู้โจมตีที่ใช้ประโยชน์จากการเข้าถึงราคาถูกเพื่อเผาผลาญทรัพยากรการประมวลผลของผู้อื่น

ทำไมรหัสผ่านที่อ่อนแอและอินสแตนซ์ที่เปิดเผยจึงเป็นจุดเข้าถึง

ไม่มีสิ่งใดในการโจมตีนี้ที่พึ่งพาช่องโหว่ zero-day ที่ซับซ้อน มันพึ่งพารหัสผ่านที่สามารถเดาได้ การโจมตีแบบ brute-force คือการลองรหัสผ่านหลาย ๆ อันจนกว่าจะได้ผลสำเร็จต่อบัญชีที่มีข้อมูลรับรองแบบง่ายหรือใช้ซ้ำ และมันมีประสิทธิภาพมากกว่ามากเมื่อฐานข้อมูลสามารถเข้าถึงได้จากอินเทอร์เน็ต

เงื่อนไขสองประการทำให้เซิร์ฟเวอร์เป็นเป้าหมายง่าย:

  • ข้อมูลรับรองที่อ่อนแอหรือค่าเริ่มต้น บนบัญชีฐานข้อมูล โดยเฉพาะบัญชีที่มีสิทธิ์สูง
  • การเปิดเผยสู่อินเทอร์เน็ต ซึ่งทำให้ใครก็ตามสามารถพยายามเข้าสู่ระบบในวงกว้างได้โดยไม่จำเป็นต้องอยู่ในเครือข่ายก่อน

กำจัดอย่างใดอย่างหนึ่งออกไป งานของผู้โจมตีก็ยากขึ้นมาก กำจัดทั้งสองอย่าง เส้นทางการโจมตีนี้ก็แทบจะปิดลง

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณใช้งาน Microsoft SQL Server ไม่ว่าจะสำหรับแอปพลิเคชันทางธุรกิจ ระบบจุดขาย หรือเครื่องมือภายในขนาดเล็ก นี่คือเครื่องเตือนใจว่าฐานข้อมูลมักถูกตั้งค่าครั้งเดียวแล้วถูกลืม อินสแตนซ์ที่ถูกละเลยพร้อมรหัสผ่านง่าย ๆ คือสิ่งที่แคมเปญเหล่านี้มองหา

หากคุณไม่ใช่ผู้ดูแลระบบ ข้อคิดนี้ก็ยังเกี่ยวข้อง บริการที่คุณใช้พึ่งพาฐานข้อมูลเช่นนี้ และการบุกรุกอาจนำไปสู่ประสิทธิภาพที่ถูกยึดและข้อมูลที่รั่วไหล สอบถามผู้ให้บริการไอทีหรือผู้ขายของคุณว่าการเข้าถึงฐานข้อมูลถูกจำกัดและตรวจสอบอย่างไร

รายการตรวจสอบความปลอดภัยสำหรับผู้ดูแลระบบและธุรกิจขนาดเล็ก

ใช้รายการนี้เป็นจุดเริ่มต้นในการเสริมความปลอดภัย SQL Server ต่อการโจมตีประเภทนี้:

  1. ค้นหาอินสแตนซ์ที่เปิดเผยของคุณ ตรวจสอบว่ามี SQL Server ใดที่สามารถเข้าถึงได้จากอินเทอร์เน็ตหรือไม่ หากไม่จำเป็นต้องเข้าถึง ให้บล็อกที่ไฟร์วอลล์
  2. หมุนเวียนข้อมูลรับรองทันที เปลี่ยนรหัสผ่านที่อ่อนแอ เป็นค่าเริ่มต้น หรือใช้ซ้ำ โดยเริ่มจากบัญชีระดับผู้ดูแลระบบ ใช้วลีรหัสผ่านที่ยาวและไม่ซ้ำกัน
  3. จำกัดว่าใครสามารถเชื่อมต่อได้ อนุญาตการเข้าถึงจากที่อยู่ที่เชื่อถือได้เฉพาะเจาะจงเท่านั้น หรือกำหนดให้ใช้ VPN หรือการเชื่อมต่อส่วนตัวที่คล้ายกันสำหรับการดูแลระบบระยะไกล
  4. ใช้สิทธิ์น้อยที่สุด ให้สิทธิ์เฉพาะที่จำเป็นแก่แอปพลิเคชันและผู้ใช้ และปิดใช้งานคุณสมบัติฐานข้อมูลที่คุณไม่ได้ใช้
  5. เฝ้าระวังสัญญาณเตือน การเข้าสู่ระบบล้มเหลวซ้ำ ๆ บัญชีใหม่ที่ไม่คาดคิด การพุ่งสูงของ CPU ที่อธิบายไม่ได้ และโปรเซสที่ไม่คุ้นเคยบนเซิร์ฟเวอร์ฐานข้อมูล ล้วนควรค่าแก่การสอบสวน
  6. อัปเดตและตรวจสอบระบบอย่างต่อเนื่อง รันการป้องกันปลายทางบนเซิร์ฟเวอร์และอัปเดตแพตช์ Windows และ SQL Server อยู่เสมอ
  7. ตรวจสอบการสำรองข้อมูล ตรวจสอบให้แน่ใจว่าคุณมีข้อมูลสำรองที่สะอาดและออฟไลน์ เพื่อให้สามารถสร้างเซิร์ฟเวอร์ใหม่ได้หากถูกบุกรุก

บทสรุป

การโจมตี Microsoft SQL Server ด้วย Gh0st RAT นี้สำเร็จได้เพราะการเปิดเผยขั้นพื้นฐาน ไม่ใช่กลอุบายขั้นสูง ซึ่งหมายความว่ามันสามารถป้องกันได้เป็นส่วนใหญ่ ตรวจสอบว่าอินสแตนซ์ SQL Server ใดบ้างที่สามารถเข้าถึงได้จากอินเทอร์เน็ต หมุนเวียนข้อมูลรับรองที่อ่อนแอวันนี้ และจำกัดการเข้าถึงเฉพาะสิ่งที่จำเป็น สำหรับมุมมองที่กว้างขึ้นเกี่ยวกับวิธีที่ผู้โจมตีใช้ประโยชน์จากการเข้าถึงราคาถูกเพื่อขโมยพลังการประมวลผล โปรดอ่านรายงานของเราเกี่ยวกับการแฮก Railway และพลังการประมวลผล AI ที่ถูกขโมยมูลค่า 1.1 ล้านดอลลาร์