Monero-Miner und Gh0st RAT treffen exponierte Microsoft SQL Server

加载图片中

加载图片中

加载图片中

加载图片中

Teilen

FortiGuard Labs hat eine Kampagne aufgedeckt, die in internetseitig erreichbare Microsoft SQL Server eindringt, um Monero-Mining-Software und Fernzugriffs-Malware zu installieren, die Daten stehlen und infizierte Rechner kontrollieren kann.

• Angreifer nutzen schwache Datenbankpasswörter, um einen Monero-Miner und eine Gh0st-RAT-Variante zu installieren.

• Das Mining-Programm tarnt sich als Microsoft-Edge-Updater und nutzt dabei die Rechenleistung des Servers.

• Registry-Änderungen, Windows-Dienste und geplante Aufgaben verhelfen der Malware zu anhaltendem Zugriff auf kompromittierte Systeme.

FortiGuard Labs erläuterte die Operation in einem am 12. November veröffentlichten Bericht des Forschers Xiaopeng Zhang, nachdem die Aktivität Anfang Oktober 2026 entdeckt worden war. Die Veröffentlichung nennt weder die Angreifer noch eine bestätigte Zahl der Opfer.

Schwache SQL-Server-Passwörter ermöglichen Angreifern die Installation von Malware

Laut der Untersuchung suchen die Angriffswerkzeuge nach exponierten Datenbanken und versuchen, sich mit vordefinierten Zugangsdaten anzumelden. Die Passwortliste enthält mehr als 2.700 Einträge, kombiniert mit Benutzernamen wie „sa“ und „admin“.

Nachdem sie sich Zugang verschafft haben, führen die Angreifer Datenbankbefehle aus, die xp_cmdshell aktivieren und einen Downloader installieren. Der Downloader lädt den Monero-Miner und Gh0st RAT von einem von den Angreifern kontrollierten Server herunter.

Laut der Microsoft-Dokumentation ist xp_cmdshell bei neuen SQL-Server-Installationen deaktiviert und sollte grundsätzlich abgeschaltet bleiben. Einige ältere Anwendungen benötigen es noch, doch das Unternehmen empfiehlt, es nur zu aktivieren, solange eine erforderliche Aufgabe ausgeführt wird.

Die Funktion öffnet eine Windows-Befehlsshell aus dem Inneren von SQL Server. Microsoft erläutert, dass Befehle, die ein Datenbankadministrator über diesen Mechanismus ausführt, die Sicherheitsberechtigungen des SQL-Server-Dienstkontos übernehmen. Die Empfehlungen des Unternehmens raten dazu, den Zugriff auf hochprivilegierte Benutzer zu beschränken und ein Proxy-Konto mit geringeren Rechten zu verwenden, wenn Nicht-Administratoren die Funktion benötigen.

Microsoft weist darauf hin, dass ein Nicht-Administrator über gespeicherte Proxy-Anmeldeinformationen verfügen muss, um xp_cmdshell zu nutzen. Ohne diese Anmeldeinformationen schlägt der Vorgang fehl. Das Unternehmen warnt, dass das Aktivieren oder Verwenden der Funktion Sicherheitsprüfwerkzeuge auslösen kann.

Monero-Miner versteckt sich hinter dem Namen eines Edge-Updates

Die Mining-Nutzlast MicrosoftEdgeUpdate.exe nutzt die CPU des kompromittierten Rechners, um über XMRig Monero zu schürfen. Laut Zhangs Analyse enthält ihre Konfiguration eine Wallet-Adresse und drei Mining-Pool-Adressen.

Bei der zweiten Nutzlast, winlogon.exe, handelt es sich um eine Gh0st-RAT-Variante mit Keylogging-, Dateiverwaltungs- und Fernbefehlsfunktionen. Funktionen zur Bildschirmaufnahme und für den Remote-Desktop werden über Plugins bereitgestellt; in der analysierten Probe waren sie nicht vorhanden.

Zu den im Bericht beschriebenen Persistenzmechanismen gehören Registrierungseinträge, ein Windows-Dienst und geplante Aufgaben. Die geplante Aufgabe des RAT wird alle 30 Minuten ausgeführt.

Die Forscher untersuchten den RAT, ohne ihn mit einem aktiven Befehlsserver zu verbinden, da diese Infrastruktur bereits vor der Analyse abgeschaltet worden war.

Frühere Serverangriffe kombinierten Miner mit Fernzugriffswerkzeugen

Wie crypto.news bereits berichtete, nutzten Angreifer im Juli 2024 anfällige File-Sharing-Server, um Monero-Miner und Remote-Access-Malware zu verbreiten. Die Untersuchung von AhnLab dokumentierte Angriffe auf den Rejetto HTTP File Server, einschließlich der Installation von XMRig, XenoRAT und Gh0stRAT.

AhnLab identifizierte mindestens vier Angreifer, die Mining-Software über den exponierten Dienst bereitstellten, darunter die Gruppe LemonDuck. Die Forscher des Unternehmens beobachteten, wie Eindringlinge Systeminformationen sammelten, Backdoor-Konten anlegten und in vielen Fällen den Dateiserver beendeten, nachdem sie sich Zugang verschafft hatten, um andere Angreifer an dessen Nutzung zu hindern.

In jüngerer Zeit hat Apple eine macOS-Schwachstelle gepatcht, nachdem Angreifer Screen Sharing ausgenutzt hatten, um Monero-Miner zu installieren. In einer Warnmeldung vom 12. August bestätigte das Nationale Cyber-Sicherheitszentrum der Niederlande Eindringlinge auf mehreren Systemen, deren Screen-Sharing-Port aus dem Internet erreichbar war.

Die Behörde erklärte, die Angreifer hätten in jedem gemeldeten Fall Root-Zugriff erlangt und einen Miner installiert. In ihrer Warnung beschrieb sie eine Authentifizierungsschwäche, die Zugriff ohne gültige Anmeldedaten ermöglichte; Korrekturen sind für macOS Sequoia, Sonoma und Tahoe verfügbar.

Betrugsmasche mit angeblicher Personalbeschaffung von CrowdStrike verbreitete dieselbe Mining-Software

Das US-Cybersicherheitsunternehmen CrowdStrike war im Januar 2025 mit einer separaten Identitätstäuschungskampagne konfrontiert, bei der gefälschte Stellenangebote zum Einsatz kamen. Das Unternehmen erklärte, E-Mails, die sich als Nachrichten seiner Personalvermittler ausgaben, hätten Stellensuchende dazu verleitet, eine Anwendung herunterzuladen, die als Werkzeug zur Mitarbeiterverwaltung ausgegeben wurde.

CrowdStrike identifizierte die Kampagne am 7. Januar 2025. Die Analyse ergab, dass die Download-Seite Optionen für Windows und macOS anbot, obwohl beide eine in Rust geschriebene Windows-Executable lieferten, die XMRig abrief.

Vor dem Fortfahren prüfte die schädliche Anwendung auf Debugging-Software, zählte aktive Prozesse und verifizierte, dass die CPU über mindestens zwei Kerne verfügte. Nachdem diese Prüfungen bestanden waren, zeigte sie eine gefälschte Fehlermeldung an und fuhr mit dem Herunterladen des Miners fort. CrowdStrike erklärte, dass das Unternehmen von Bewerbern niemals verlangt, im Rahmen seines Einstellungsverfahrens Software herunterzuladen.