Yeni bir rapor, hackerların zayıf veritabanı şifrelerini hedef aldığı ve ardından Windows sunucularında kötü amaçlı yazılım çalıştırmak için veritabanının kendi özelliklerini kullandığı bir Microsoft SQL Server Gh0st RAT saldırısını tanımlıyor. Yükler, bir Monero kripto para madencisi ve bir uzaktan erişim truva atı olan Gh0st RAT'tir. Bu kombinasyon, yetersiz korunan tek bir veritabanını hem saldırgan için para kazandıran bir makineye hem de kurbanın ağına açılan bir pencereye dönüştürüyor.
Kaynak rapor kısa olduğundan bu makale yalnızca belirtilenlere bağlı kalıyor: saldırganlar zayıf Microsoft SQL Server şifrelerinin peşine düşüyor ve kötü amaçlı yazılımlarını çalıştırmak için veritabanı işlevselliğine dayanıyor. Ancak pratik dersler açık ve SQL Server çalıştıran her kuruluş için geçerli.
Saldırganlar SQL Server'ı nasıl kötü amaçlı yazılım başlatıcısına dönüştürüyor
Saldırı tahminle başlıyor. Rapora göre hackerlar zayıf şifrelerle korunan sunucuları hedef alıyor. İçeri girdikten sonra egzotik bir güvenlik açığından yararlanmalarına gerek kalmıyor. Bunun yerine, altındaki Windows makinesinde kötü amaçlı yazılım çalıştırmak için veritabanının kendisinin bir parçası olan özellikleri kullanıyorlar.
Bu teknikı anlamaya değer kılan da bu. Bir veritabanı sunucusu, yöneticiler ve uygulamalar adına komutlar yürütmek ve dosyaları işlemek üzere tasarlanmıştır. Bir saldırgan geçerli kimlik bilgilerine sahip olduğunda, bu meşru işlevsellik programları başlatmaya yönlendirilebilir. Etkinlik güvenilir bir hizmet üzerinden yürüdüğü için tipik bir kötü amaçlı yazılım indirmesinden daha az şüpheli görünebilir.
Gh0st RAT ve Monero madencisi kurulduktan sonra ne yapıyor
İki yük farklı amaçlara hizmet ediyor.
Monero madencisi kaynak gaspıyla ilgilidir. Sunucunun işlem gücünü saldırgan için kripto para madenciliği yapmak üzere kullanırken, kurban elektrik faturasını öder ve yavaşlamalara katlanır. Aniden ısınan veya yavaşlayan bir veritabanı sunucusu, bu tür bir kötüye kullanımın işareti olabilir.
Gh0st RAT erişimle ilgilidir. Enfekte bir Windows makinesinin uzaktan kontrolünü saldırgana veren bir tür kötü amaçlı yazılım olan bir uzaktan erişim truva atıdır. Bu tür uzaktan erişim araçları genellikle gözetleme ve veri hırsızlığı için kullanılır; bu da hassas iş kayıtlarına yakın konumlanabilecek bir sunucuda önem taşır.
Birlikte ele alındığında, yükler saldırganların bir ihlali madencilikle hemen paraya çevirirken truva atı aracılığıyla daha uzun vadeli bir dayanak noktası koruyabildiğini gösteriyor. Bu tür kaynak hırsızlığı yalnızca madencilik kötü amaçlı yazılımlarına özgü değildir; sahte hesaplar aracılığıyla 1,1 milyon dolarlık AI hesaplama gücünün çalındığı Railway saldırısı haberimiz, saldırganların başkasının hesaplama kaynaklarını tüketmek için ucuz erişimi istismar ettiği benzer bir örüntüyü gösteriyor.
Zayıf şifreler ve açığa çıkmış örnekler neden giriş noktası
Bu saldırıda hiçbir şey sofistike bir sıfır gün açığına bağlı değil. Tahmin edilebilir bir şifreye bağlı. Kaba kuvvet saldırısı, yani bir şifre işleyene kadar çok sayıda şifre denemek, basit veya yeniden kullanılan kimlik bilgilerine sahip hesaplara karşı başarılı olur ve veritabanına internetten erişilebildiğinde çok daha etkilidir.
Bir sunucuyu kolay hedef yapan iki koşul var:
- Veritabanı hesaplarında, özellikle yüksek ayrıcalıklı olanlarda zayıf veya varsayılan kimlik bilgileri.
- Ağın içinde olmadan herkesin ölçekli oturum açma denemeleri yapmasına olanak tanıyan internete açıklık.
Bunlardan birini ortadan kaldırın, saldırganın işi çok daha zorlaşır. İkisini de ortadan kaldırın, bu özel saldırı yolu büyük ölçüde kapanır.
Bu Sizin İçin Ne Anlama Geliyor
İster bir iş uygulaması, ister bir satış noktası sistemi, ister küçük bir dahili araç için olsun Microsoft SQL Server çalıştırıyorsanız, bu size veritabanlarının genellikle bir kez kurulup sonra unutulduğunu hatırlatır. Basit bir şifreye sahip ihmal edilmiş bir örnek, bu kampanyaların tam olarak aradığı şeydir.
Yönetici değilseniz bile çıkarım yine de geçerlidir. Kullandığınız hizmetler bu tür veritabanlarına bağlıdır ve bir ihlal, performansın ele geçirilmesine ve verilerin açığa çıkmasına yol açabilir. BT sağlayıcınıza veya satıcınıza veritabanı erişiminin nasıl kısıtlandığını ve izlendiğini sorun.
Yöneticiler ve küçük işletmeler için güvenlik kontrol listesi
Bu listeyi SQL Server'ı bu tür saldırılara karşı sağlamlaştırmak için bir başlangıç noktası olarak kullanın:
- Açığa çıkmış örneklerinizi bulun. Herhangi bir SQL Server'a internetten erişilip erişilemediğini kontrol edin. Gerekmiyorsa güvenlik duvarında engelleyin.
- Kimlik bilgilerini hemen değiştirin. Yönetici düzeyindeki hesaplardan başlayarak zayıf, varsayılan veya yeniden kullanılan şifreleri değiştirin. Uzun, benzersiz parolalar kullanın.
- Kimlerin bağlanabileceğini sınırlayın. Yalnızca belirli güvenilir adreslerden erişime izin verin veya uzaktan yönetim için VPN ya da benzeri özel bir bağlantı gerektirin.
- En az ayrıcalık uygulayın. Uygulamalara ve kullanıcılara yalnızca ihtiyaç duydukları izinleri verin ve kullanmadığınız veritabanı özelliklerini devre dışı bırakın.
- Uyarı işaretlerini izleyin. Tekrarlanan başarısız oturum açma girişimleri, beklenmedik yeni hesaplar, açıklanamayan CPU artışları ve veritabanı sunucusundaki tanıdık olmayan süreçler araştırılmayı hak eder.
- Sistemleri güncel ve izlenir tutun. Sunucuda uç nokta koruması çalıştırın ve Windows ile SQL Server'ı yamalı tutun.
- Yedeklemeleri gözden geçirin. Bir sunucu ihlal edilirse yeniden oluşturabilmeniz için temiz, çevrimdışı yedekleriniz olduğundan emin olun.
Özet
Bu Microsoft SQL Server Gh0st RAT saldırısı, gelişmiş bir hile değil temel bir açıklık nedeniyle başarılı oluyor; bu da büyük ölçüde önlenebilir olduğu anlamına geliyor. Hangi SQL Server örneklerine internetten erişilebildiğini denetleyin, zayıf kimlik bilgilerini bugün değiştirin ve erişimi yalnızca gerekli olanla sınırlayın. Saldırganların hesaplama gücünü çalmak için ucuz erişimi nasıl istismar ettiğine daha geniş bir bakış için Railway saldırısı ve çalınan 1,1 milyon dolarlık AI hesaplama gücü raporumuzu okuyun.
