У новій доповіді описано атаку Gh0st RAT на Microsoft SQL Server, у якій хакери націлюються на слабкі паролі баз даних, а потім використовують власні функції бази даних для запуску шкідливого програмного забезпечення на серверах Windows. Корисним навантаженням є майнер криптовалюти Monero та Gh0st RAT — троян віддаленого доступу. Поєднання перетворює одну погано захищену базу даних як на машину для заробітку для зловмисника, так і на вікно в мережу жертви.
Вихідна доповідь коротка, тому ця стаття дотримується того, що в ній зазначено: зловмисники полюють на слабкі паролі Microsoft SQL Server і покладаються на функціональність бази даних для виконання свого шкідливого програмного забезпечення. Однак практичні уроки очевидні й застосовні до будь-якої організації, яка використовує SQL Server.
Як зловмисники перетворюють SQL Server на засіб запуску шкідливого ПЗ
Атака починається з вгадування. Згідно з доповіддю, хакери націлюються на сервери, захищені слабкими паролями. Отримавши доступ, їм не потрібно використовувати екзотичну вразливість. Натомість вони використовують функції, що є частиною самої бази даних, щоб запустити шкідливе ПЗ на базовій машині Windows.
Саме це робить цю техніку вартою розуміння. Сервер бази даних призначений для виконання команд і обробки файлів від імені адміністраторів і застосунків. Коли зловмисник володіє дійсними обліковими даними, ця легітимна функціональність може бути спрямована на запуск програм. Оскільки діяльність відбувається через довірену службу, вона може виглядати менш підозріло, ніж типове завантаження шкідливого ПЗ.
Що роблять Gh0st RAT і майнер Monero після встановлення
Два корисні навантаження слугують різним цілям.
Майнер Monero — це викрадення ресурсів. Він використовує обчислювальну потужність сервера для майнінгу криптовалюти для зловмисника, тоді як жертва платить за електроенергію та зазнає уповільнень. Сервер бази даних, який раптово працює з перегрівом або повільно, може бути ознакою такого зловживання.
Gh0st RAT — це про доступ. Це троян віддаленого доступу, тип шкідливого ПЗ, який дає зловмиснику віддалений контроль над інфікованою машиною Windows. Інструменти віддаленого доступу такого роду зазвичай використовуються для спостереження та крадіжки даних, що має значення на сервері, який може перебувати близько до конфіденційних бізнес-записів.
Разом корисні навантаження показують, як зловмисники можуть негайно монетизувати компрометацію за допомогою майнінгу, зберігаючи довгострокову опору через троян. Крадіжка ресурсів такого роду не є унікальною для майнінгового шкідливого ПЗ; наш матеріал про злам Railway, де $1,1 млн обчислювальних ресурсів ШІ було викрадено через фейкові акаунти, показує схожу модель, коли зловмисники використовують дешевий доступ, щоб спалювати чужі обчислювальні ресурси.
Чому слабкі паролі та відкриті екземпляри є точкою входу
Ніщо в цій атаці не залежить від витонченого zero-day. Вона залежить від пароля, який можна вгадати. Брутфорс — спроба багатьох паролів, доки один не спрацює, — досягає успіху проти акаунтів із простими або повторно використаними обліковими даними, і він набагато ефективніший, коли база даних доступна з інтернету.
Дві умови роблять сервер легкою ціллю:
- Слабкі або стандартні облікові дані для акаунтів бази даних, особливо з високими привілеями.
- Доступність з інтернету, що дозволяє будь-кому намагатися входити в систему в масштабі, навіть не перебуваючи всередині мережі.
Усуньте будь-яку з них — і робота зловмисника стане набагато складнішою. Усуньте обидві — і цей конкретний шлях атаки значною мірою закриється.
Що це означає для вас
Якщо ви використовуєте Microsoft SQL Server — чи то для бізнес-застосунку, чи то для системи точок продажу, чи то для невеликого внутрішнього інструмента, — це нагадування про те, що бази даних часто налаштовують один раз і потім забувають. Занедбаний екземпляр із простим паролем — саме те, що шукають ці кампанії.
Якщо ви не адміністратор, висновок усе одно актуальний. Сервіси, якими ви користуєтеся, залежать від таких баз даних, і компрометація може призвести до викраденої продуктивності та розкриття даних. Запитайте свого IT-провайдера або постачальника, як обмежується та відстежується доступ до бази даних.
Контрольний список безпеки для адміністраторів і малого бізнесу
Використовуйте цей список як відправну точку для зміцнення SQL Server проти такого роду атак:
- Знайдіть свої відкриті екземпляри. Перевірте, чи доступний якийсь SQL Server з інтернету. Якщо він не повинен бути доступним, заблокуйте його на фаєрволі.
- Негайно змініть облікові дані. Замініть слабкі, стандартні або повторно використані паролі, починаючи з акаунтів рівня адміністратора. Використовуйте довгі унікальні парольні фрази.
- Обмежте, хто може підключатися. Дозволяйте доступ лише з конкретних довірених адрес або вимагайте VPN чи подібне приватне з'єднання для віддаленого адміністрування.
- Застосовуйте найменші привілеї. Надавайте застосункам і користувачам лише ті дозволи, які їм потрібні, і вимикайте функції бази даних, які ви не використовуєте.
- Стежте за попереджувальними ознаками. Повторні невдалі входи, неочікувані нові акаунти, нез'ясовані стрибки CPU та незнайомі процеси на сервері бази даних — усе це заслуговує на розслідування.
- Тримайте системи оновленими та під наглядом. Запускайте захист кінцевих точок на сервері та підтримуйте Windows і SQL Server пропатченими.
- Перегляньте резервні копії. Переконайтеся, що у вас є чисті офлайн-резервні копії, щоб ви могли відновити сервер у разі його компрометації.
Підсумок
Ця атака Gh0st RAT на Microsoft SQL Server досягає успіху через базову відкритість, а не через передові хитрощі, що також означає, що її значною мірою можна запобігти. Перевірте, які екземпляри SQL Server доступні з інтернету, змініть слабкі облікові дані вже сьогодні та обмежте доступ лише необхідним. Для ширшого погляду на те, як зловмисники використовують дешевий доступ для викрадення обчислювальної потужності, прочитайте нашу доповідь про злам Railway та його $1,1 млн викрадених обчислювальних ресурсів ШІ.
