Một báo cáo mới mô tả cuộc tấn công Gh0st RAT nhắm vào Microsoft SQL Server, trong đó tin tặc nhắm vào các mật khẩu cơ sở dữ liệu yếu rồi sử dụng chính các tính năng của cơ sở dữ liệu để chạy phần mềm độc hại trên các máy chủ Windows. Các tải trọng là một trình đào tiền mã hóa Monero và Gh0st RAT, một trojan truy cập từ xa. Sự kết hợp này biến một cơ sở dữ liệu được bảo vệ kém thành cả một cỗ máy kiếm tiền cho kẻ tấn công và một cửa sổ nhìn vào mạng của nạn nhân.
Báo cáo nguồn khá ngắn gọn, vì vậy bài viết này chỉ bám sát những gì báo cáo nêu: những kẻ tấn công nhắm vào các mật khẩu Microsoft SQL Server yếu, và chúng dựa vào chức năng của cơ sở dữ liệu để thực thi phần mềm độc hại. Tuy nhiên, các bài học thực tiễn thì rất rõ ràng và áp dụng cho bất kỳ tổ chức nào đang vận hành SQL Server.
Cách tin tặc biến SQL Server thành bệ phóng phần mềm độc hại
Cuộc tấn công bắt đầu bằng việc đoán mật khẩu. Theo báo cáo, tin tặc nhắm vào các máy chủ được bảo vệ bằng mật khẩu yếu. Sau khi xâm nhập được, chúng không cần khai thác một lỗ hổng lạ nào. Thay vào đó, chúng sử dụng các tính năng vốn có của chính cơ sở dữ liệu để đưa phần mềm độc hại vào chạy trên máy Windows bên dưới.
Đây chính là điều khiến kỹ thuật này đáng để tìm hiểu. Một máy chủ cơ sở dữ liệu được thiết kế để thực thi lệnh và xử lý tệp thay cho quản trị viên và ứng dụng. Khi kẻ tấn công nắm giữ thông tin đăng nhập hợp lệ, chức năng hợp pháp đó có thể bị chuyển hướng sang việc khởi chạy các chương trình. Bởi vì hoạt động này diễn ra thông qua một dịch vụ đáng tin cậy, nó có thể trông ít đáng ngờ hơn so với một vụ tải xuống phần mềm độc hại thông thường.
Gh0st RAT và Monero miner làm gì sau khi được cài đặt
Hai tải trọng phục vụ những mục tiêu khác nhau.
Monero miner là về việc chiếm đoạt tài nguyên. Nó sử dụng sức mạnh xử lý của máy chủ để đào tiền mã hóa cho kẻ tấn công, trong khi nạn nhân trả tiền điện và chịu đựng sự chậm chạp. Một máy chủ cơ sở dữ liệu đột nhiên chạy nóng hoặc ì ạch có thể là dấu hiệu của kiểu lạm dụng này.
Gh0st RAT là về quyền truy cập. Đây là một trojan truy cập từ xa, một loại phần mềm độc hại cho phép kẻ tấn công điều khiển từ xa một máy Windows bị nhiễm. Các công cụ truy cập từ xa kiểu này thường được dùng để giám sát và đánh cắp dữ liệu, điều này đặc biệt quan trọng trên một máy chủ có thể nằm gần các hồ sơ kinh doanh nhạy cảm.
Cùng nhau, các tải trọng cho thấy cách kẻ tấn công có thể kiếm lợi ngay lập tức từ một vụ xâm nhập bằng cách đào tiền, đồng thời duy trì một chỗ đứng lâu dài thông qua trojan. Việc đánh cắp tài nguyên kiểu này không chỉ riêng phần mềm độc hại đào tiền; bài viết của chúng tôi về vụ hack Railway, nơi 1,1 triệu USD tài nguyên tính toán AI bị đánh cắp qua các tài khoản giả mạo, cho thấy một mô hình tương tự khi kẻ tấn công khai thác quyền truy cập rẻ để đốt tài nguyên tính toán của người khác.
Tại sao mật khẩu yếu và các phiên bản bị lộ là điểm xâm nhập
Không có gì trong cuộc tấn công này phụ thuộc vào một lỗ hổng zero-day tinh vi. Nó phụ thuộc vào một mật khẩu có thể đoán được. Tấn công brute-force, thử nhiều mật khẩu cho đến khi một mật khẩu đúng, thành công đối với các tài khoản có thông tin đăng nhập đơn giản hoặc bị dùng lại, và nó còn hiệu quả hơn nhiều khi cơ sở dữ liệu có thể truy cập được từ internet.
Hai điều kiện khiến một máy chủ trở thành mục tiêu dễ dàng:
- Thông tin đăng nhập yếu hoặc mặc định trên các tài khoản cơ sở dữ liệu, đặc biệt là các tài khoản có đặc quyền cao.
- Bị lộ ra internet, điều này cho phép bất kỳ ai thử đăng nhập ở quy mô lớn mà không cần đã ở bên trong mạng.
Loại bỏ một trong hai điều kiện và công việc của kẻ tấn công trở nên khó khăn hơn nhiều. Loại bỏ cả hai và con đường tấn công cụ thể này phần lớn sẽ bị đóng lại.
Điều này có ý nghĩa gì với bạn
Nếu bạn vận hành Microsoft SQL Server, dù cho một ứng dụng kinh doanh, một hệ thống điểm bán hàng, hay một công cụ nội bộ nhỏ, đây là lời nhắc nhở rằng các cơ sở dữ liệu thường được thiết lập một lần rồi bị lãng quên. Một phiên bản bị bỏ bê với mật khẩu đơn giản chính là thứ mà các chiến dịch này tìm kiếm.
Nếu bạn không phải là quản trị viên, bài học vẫn có liên quan. Các dịch vụ bạn sử dụng phụ thuộc vào những cơ sở dữ liệu như thế này, và một vụ xâm nhập có thể dẫn đến hiệu suất bị chiếm đoạt và dữ liệu bị lộ. Hãy hỏi nhà cung cấp dịch vụ IT hoặc nhà cung cấp của bạn về cách quyền truy cập cơ sở dữ liệu được hạn chế và giám sát.
Danh sách kiểm tra bảo mật cho quản trị viên và doanh nghiệp nhỏ
Hãy dùng danh sách này làm điểm khởi đầu để tăng cường bảo mật SQL Server chống lại kiểu tấn công này:
- Tìm các phiên bản bị lộ của bạn. Kiểm tra xem có SQL Server nào có thể truy cập được từ internet không. Nếu không cần thiết, hãy chặn nó tại tường lửa.
- Xoay vòng thông tin đăng nhập ngay bây giờ. Thay thế các mật khẩu yếu, mặc định hoặc bị dùng lại, bắt đầu với các tài khoản cấp quản trị viên. Sử dụng cụm mật khẩu dài và duy nhất.
- Hạn chế ai có thể kết nối. Chỉ cho phép truy cập từ các địa chỉ tin cậy cụ thể, hoặc yêu cầu VPN hoặc kết nối riêng tư tương tự cho quản trị từ xa.
- Áp dụng đặc quyền tối thiểu. Chỉ cấp cho ứng dụng và người dùng những quyền họ cần, và vô hiệu hóa các tính năng cơ sở dữ liệu bạn không sử dụng.
- Theo dõi các dấu hiệu cảnh báo. Đăng nhập thất bại lặp đi lặp lại, tài khoản mới bất ngờ, mức sử dụng CPU tăng đột biến không giải thích được, và các tiến trình lạ trên máy chủ cơ sở dữ liệu đều đáng được điều tra.
- Giữ hệ thống được cập nhật và giám sát. Chạy bảo vệ điểm cuối trên máy chủ và giữ Windows và SQL Server được vá.
- Xem lại các bản sao lưu. Đảm bảo bạn có các bản sao lưu sạch, ngoại tuyến để có thể xây dựng lại máy chủ nếu nó bị xâm nhập.
Kết luận
Cuộc tấn công Microsoft SQL Server Gh0st RAT này thành công là nhờ sự phơi bày cơ bản, không phải thủ đoạn tinh vi, điều này cũng có nghĩa là nó phần lớn có thể phòng ngừa được. Hãy kiểm tra những phiên bản SQL Server nào có thể truy cập được từ internet, xoay vòng thông tin đăng nhập yếu ngay hôm nay, và hạn chế quyền truy cập chỉ ở mức cần thiết. Để có cái nhìn rộng hơn về cách kẻ tấn công khai thác quyền truy cập rẻ để đánh cắp sức mạnh tính toán, hãy đọc báo cáo của chúng tôi về vụ hack Railway và 1,1 triệu USD tài nguyên tính toán AI bị đánh cắp.
