Minero de Monero y Gh0st RAT atacan servidores Microsoft SQL expuestos

加载图片中

加载图片中

加载图片中

加载图片中

Compartir

FortiGuard Labs ha descubierto una campaña que irrumpe en servidores Microsoft SQL expuestos a internet para instalar software de minería de Monero y malware de acceso remoto capaz de robar datos y controlar las máquinas infectadas.

• Los atacantes utilizan contraseñas débiles de bases de datos para instalar un minero de Monero y una variante de Gh0st RAT.

• El programa de minería se hace pasar por un actualizador de Microsoft Edge mientras utiliza la potencia de procesamiento del servidor.

• Los cambios en el registro, los servicios de Windows y las tareas programadas ayudan al malware a mantener el acceso a los sistemas comprometidos.

FortiGuard Labs detalló la operación en un informe del 12 de noviembre del investigador Xiaopeng Zhang, tras su descubrimiento de la actividad a principios de octubre de 2026. La publicación no identifica a los atacantes ni ofrece un recuento confirmado de víctimas.

Las contraseñas débiles de SQL Server permiten a los atacantes instalar malware

Según la investigación, las herramientas de ataque buscan bases de datos expuestas e intentan iniciar sesión utilizando credenciales predefinidas. La lista de contraseñas contiene más de 2.700 entradas, combinadas con nombres de usuario como «sa» y «admin».

Tras obtener acceso, los atacantes ejecutan comandos de base de datos que habilitan xp_cmdshell e instalan un descargador. El descargador obtiene el minero de Monero y Gh0st RAT desde un servidor controlado por el atacante.

La documentación de Microsoft indica que xp_cmdshell está deshabilitado en las nuevas instalaciones de SQL Server y, por lo general, debe permanecer desactivado. Algunas aplicaciones más antiguas aún lo requieren, pero la compañía recomienda habilitarlo solo mientras se ejecuta una tarea necesaria.

La función abre un shell de comandos de Windows desde dentro de SQL Server. Microsoft explica que los comandos que un administrador de bases de datos ejecuta mediante este mecanismo heredan los permisos de seguridad de la cuenta de servicio de SQL Server. Su guía recomienda restringir el acceso a usuarios con altos privilegios y usar una cuenta proxy con menos privilegios cuando usuarios que no son administradores necesitan la función.

Microsoft señala que un usuario que no es administrador necesita una credencial proxy configurada para usar xp_cmdshell. Sin esa credencial, la operación falla. La compañía advierte que habilitar o usar la función puede activar herramientas de auditoría de seguridad.

Un minero de Monero se oculta tras el nombre de una actualización de Edge

La carga útil de minería, MicrosoftEdgeUpdate.exe, utiliza la CPU de la máquina comprometida para minar Monero mediante XMRig. Su configuración contiene una dirección de cartera y tres direcciones de grupos de minería, según el análisis de Zhang.

Una segunda carga útil, winlogon.exe, es una variante de Gh0st RAT con capacidades de registro de pulsaciones, gestión de archivos y ejecución remota de comandos. Las funciones de captura de pantalla y escritorio remoto se suministran mediante plugins; no estaban presentes en la muestra analizada.

Los mecanismos de persistencia descritos en el informe incluyen entradas del registro, un servicio de Windows y tareas programadas. La tarea programada del RAT se ejecuta cada 30 minutos.

Los investigadores examinaron el RAT sin conectarlo a un servidor de comandos activo, ya que esa infraestructura ya se había desmantelado antes del análisis.

Ataques anteriores a servidores combinaban mineros con herramientas de acceso remoto

Como informó previamente crypto.news, en julio de 2024 los atacantes utilizaron servidores de intercambio de archivos vulnerables para distribuir mineros de Monero y malware de acceso remoto. La investigación de AhnLab documentó ataques contra Rejetto HTTP File Server, incluidas instalaciones de XMRig, XenoRAT y Gh0stRAT.

AhnLab identificó al menos a cuatro atacantes que desplegaron software de minería a través del servicio expuesto, incluido el grupo LemonDuck. Sus investigadores observaron a intrusos recopilando información del sistema, creando cuentas de puerta trasera y, en muchos casos, terminando el servidor de archivos tras establecer el acceso para impedir que otros atacantes lo utilizaran.

Más recientemente, Apple corrigió una vulnerabilidad de macOS después de que los atacantes explotaran Compartir pantalla para instalar mineros de Monero. En un aviso del 12 de agosto, el Centro Nacional de Ciberseguridad de los Países Bajos confirmó intrusiones en múltiples sistemas cuyo puerto de Compartir pantalla era accesible desde internet.

La agencia afirmó que los atacantes obtuvieron acceso root e instalaron un minero en todos los casos reportados. Su aviso describió una debilidad de autenticación que permitía el acceso sin credenciales válidas, con correcciones disponibles para macOS Sequoia, Sonoma y Tahoe.

Una estafa de reclutamiento de CrowdStrike distribuyó el mismo software de minería

La empresa estadounidense de ciberseguridad CrowdStrike enfrentó en enero de 2025 una campaña de suplantación de identidad distinta que involucraba ofertas de empleo falsas. La compañía indicó que correos electrónicos que se hacían pasar por sus reclutadores dirigían a los solicitantes de empleo a descargar una aplicación presentada como una herramienta de gestión de empleados.

CrowdStrike identificó la campaña el 7 de enero de 2025. Su análisis determinó que la página de descarga ofrecía opciones para Windows y macOS, aunque ambas entregaban un ejecutable de Windows escrito en Rust que descargaba XMRig.

Antes de continuar, la aplicación maliciosa comprobaba la presencia de software de depuración, contaba los procesos activos y verificaba que la CPU tuviera al menos dos núcleos. Tras superar esas comprobaciones, mostraba un mensaje de error falso y continuaba con la descarga del minero. CrowdStrike afirmó que nunca exige a los candidatos descargar software como parte de su proceso de selección.