一份新报告描述了一起针对 Microsoft SQL Server 的 Gh0st RAT 攻击，黑客瞄准弱数据库密码，然后利用数据库自身功能在 Windows 服务器上运行恶意软件。有效载荷是一个门罗币加密货币挖矿程序和 Gh0st RAT（一种远程访问木马）。这种组合将一个防护薄弱的数据库同时变成了攻击者的赚钱机器和窥视受害者网络的窗口。
源报告内容简短，因此本文仅依据其陈述的内容：攻击者针对弱 Microsoft SQL Server 密码下手，并借助数据库功能来执行恶意软件。然而，实际教训是明确的，适用于任何运行 SQL Server 的组织。
攻击者如何将 SQL Server 变成恶意软件启动器
攻击从猜测开始。根据报告，黑客瞄准受弱密码保护的服务器。一旦进入，他们无需利用罕见的漏洞。相反，他们利用数据库本身自带的功能，让恶意软件在底层 Windows 机器上运行。
这正是该技术值得了解的原因。数据库服务器本应代表管理员和应用程序执行命令和处理文件。当攻击者持有有效凭据时，这种合法功能就可以被转向启动程序。由于该活动通过受信任的服务运行，它看起来可能不像典型的恶意软件下载那样可疑。
Gh0st RAT 和门罗币挖矿程序安装后的行为
这两个有效载荷服务于不同的目标。
门罗币挖矿程序旨在劫持资源。它利用服务器的处理能力为攻击者挖掘加密货币，而受害者则支付电费并承受性能下降。一台突然运行过热或变得迟缓的数据库服务器可能是此类滥用的迹象。
Gh0st RAT 旨在获取访问权限。它是一种远程访问木马，这类恶意软件让攻击者能够远程控制受感染的 Windows 机器。此类远程访问工具通常用于监视和数据窃取，这在可能靠近敏感业务记录的服务器上尤为重要。
两个有效载荷结合在一起，展示了攻击者如何通过挖矿立即将入侵变现，同时通过木马保持长期立足点。此类资源窃取并非挖矿恶意软件独有；我们对Railway 黑客事件——通过虚假账户窃取价值 110 万美元的 AI 算力的报道展示了类似的模式：攻击者利用廉价访问权限来消耗他人的计算资源。
为什么弱密码和暴露的实例是入口点
这次攻击中没有任何环节依赖于复杂的零日漏洞。它依赖于一个可以被猜到的密码。暴力破解——尝试许多密码直到一个成功——对使用简单或重复凭据的账户有效，而当数据库可从互联网访问时，其效果更为显著。
两个条件使服务器成为容易攻击的目标：
- 数据库账户上的弱密码或默认凭据，尤其是高权限账户。
- 暴露于互联网，这让任何人都能在无需已进入网络的情况下大规模尝试登录。
消除其中任何一个，攻击者的工作就会困难得多。两者都消除，这条特定的攻击路径基本就被关闭了。
这对你意味着什么
如果你运行 Microsoft SQL Server——无论是用于业务应用、销售点系统还是小型内部工具——这提醒我们，数据库通常设置一次后就被遗忘。一个被忽视的、使用简单密码的实例正是这些攻击活动所寻找的目标。
如果你不是管理员，这一结论仍然相关。你使用的服务依赖于这样的数据库，而入侵可能导致性能被劫持和数据泄露。请询问你的 IT 服务商或供应商，数据库访问是如何被限制和监控的。
面向管理员和小型企业的安全清单
将此清单作为加固 SQL Server 以防范此类攻击的起点：
- 找出暴露的实例。 检查是否有任何 SQL Server 可从互联网访问。如果不需要，请在防火墙上阻止它。
- 立即更换凭据。 替换弱密码、默认密码或重复使用的密码，从管理员级账户开始。使用长且唯一的密码短语。
- 限制可连接的人员。 仅允许来自特定受信任地址的访问，或要求远程管理通过 VPN 或类似的私有连接进行。
- 应用最小权限原则。 仅授予应用程序和用户所需的权限，并禁用不使用的数据库功能。
- 留意警示信号。 反复的登录失败、意外的新账户、不明原因的 CPU 飙升以及数据库服务器上不熟悉的进程都值得调查。
- 保持系统更新和监控。 在服务器上运行端点保护，并保持 Windows 和 SQL Server 已打补丁。
- 审查备份。 确保拥有干净的离线备份，以便在服务器被入侵时能够重建。
底线
这起 Microsoft SQL Server Gh0st RAT 攻击之所以得逞，是因为基本的暴露问题，而非高级手段，这也意味着它在很大程度上是可以预防的。审计哪些 SQL Server 实例可从互联网访问，今天就更换弱凭据，并将访问限制在必要范围内。如需更全面地了解攻击者如何利用廉价访问权限窃取计算能力，请阅读我们关于 Railway 黑客事件及其价值 110 万美元的被盗 AI 算力的报告。
