画像を読み込み中Lawrence Mondal
画像を読み込み中オリビア・ステファニー
画像を読み込み中Monero採掘ツールとGh0st RATが公開状態のMicrosoft SQL Serverを攻撃 - 1
画像を読み込み中Rail

共有

FortiGuard Labsは、インターネットに公開されたMicrosoft SQL Serverに侵入し、Moneroのマイニングソフトウェアと、データ窃取や感染マシンの制御が可能なリモートアクセス型マルウェアをインストールするキャンペーンを発見した。

• 攻撃者は脆弱なデータベースのパスワードを悪用して、MoneroマイナーとGh0st RATの亜種をインストールする。

• このマイニングプログラムはMicrosoft Edgeのアップデーターを装いながら、サーバーの処理能力を利用する。

• レジストリの変更、Windowsサービス、スケジュールされたタスクにより、マルウェアは侵害したシステムへのアクセスを維持する。

FortiGuard Labsは、研究者Xiaopeng Zhang氏による11月12日の報告書でこの作戦の詳細を明らかにした。これは2026年10月初旬に同社がこの活動を発見したことを受けたものだ。同報告書は攻撃者を特定しておらず、確認された被害者数も示していない。

SQL Serverの脆弱なパスワードが攻撃者によるマルウェアのインストールを許す

この調査によると、攻撃ツールは公開されたデータベースを検索し、あらかじめ定義された認証情報を使ってログインを試みる。パスワードリストには2,700件を超えるエントリが含まれ、「sa」や「admin」といったユーザー名と組み合わせて使われる。

アクセスを獲得した後、攻撃者はxp_cmdshellを有効化し、ダウンローダーをインストールするデータベースコマンドを実行する。このダウンローダーは、攻撃者が管理するサーバーからMoneroマイナーとGh0st RATを取得する。

Microsoftのドキュメントによると、xp_cmdshellは新規のSQL Serverインストールでは無効化されており、基本的には無効のままにしておくべきだという。一部の古いアプリケーションでは依然として必要とされているが、同社は必要なタスクの実行中に限って有効化することを推奨している。

この機能はSQL Server内部からWindowsのコマンドシェルを開く。Microsoftは、データベース管理者がこの仕組みを通じて実行するコマンドは、SQL Serverサービスアカウントのセキュリティ権限を継承すると説明している。同社のガイダンスでは、アクセスを高い権限を持つユーザーに制限し、管理者以外がこの機能を必要とする場合は権限の低いプロキシアカウントを使用することを推奨している。

Microsoftは、管理者以外がxp_cmdshellを使用するには、設定済みのプロキシ資格情報が必要だと指摘している。その資格情報がなければ、操作は失敗する。同社は、この機能を有効化したり使用したりすると、セキュリティ監査ツールが作動する可能性があると警告している。

MoneroマイナーがEdgeアップデート名の陰に隠れる

マイニングペイロードであるMicrosoftEdgeUpdate.exeは、侵害されたマシンのCPUを使用してXMRig経由でMoneroをマイニングする。Zhangの分析によると、その設定にはウォレットアドレスと3つのマイニングプールアドレスが含まれている。

2つ目のペイロードであるwinlogon.exeは、キーロギング、ファイル管理、リモートコマンド機能を備えたGh0st RATの亜種である。画面キャプチャとリモートデスクトップ機能はプラグインを通じて提供されるが、分析されたサンプルには含まれていなかった。

報告書で説明されている永続化の仕組みには、レジストリエントリ、Windowsサービス、スケジュールされたタスクが含まれる。このRATのスケジュールされたタスクは30分ごとに実行される。

研究者らは、このRATを実際のコマンドサーバーに接続せずに調査した。そのインフラは分析前にすでに停止していたためである。

以前のサーバー攻撃では、マイナーとリモートアクセスツールが組み合わされていた

crypto.newsが以前報じたように、攻撃者は2024年7月、脆弱なファイル共有サーバーを悪用してMoneroマイナーとリモートアクセス型マルウェアを配布した。AhnLabの調査は、XMRig、XenoRAT、Gh0stRATのインストールを含む、Rejetto HTTP File Serverに対する攻撃を記録した。

AhnLabは、露出したサービスを通じてマイニングソフトウェアを配備した少なくとも4つの攻撃者を特定した。これにはLemonDuckグループも含まれる。同社の研究者は、侵入者がシステム情報を収集し、バックドアアカウントを作成し、多くの場合、アクセスを確立した後にファイルサーバーを停止させて他の攻撃者が利用できないようにする様子を観測した。

より最近では、攻撃者が画面共有を悪用してMoneroマイナーをインストールした後、AppleがmacOSの脆弱性にパッチを適用した。8月12日の勧告で、オランダの国家サイバーセキュリティセンターは、画面共有ポートがインターネットから到達可能な複数のシステムへの侵入を確認した。

当局によると、報告されたすべての事例で攻撃者はrootアクセスを取得し、マイナーをインストールしていた。当局の勧告は、有効な認証情報なしでアクセスを可能にする認証の脆弱性について言及しており、macOS Sequoia、Sonoma、Tahoe向けの修正プログラムが提供されている。

CrowdStrikeの採用詐欺が同じマイニングソフトを配布

米国のサイバーセキュリティ企業CrowdStrikeは、2025年1月に偽の採用オファーを伴う別のなりすましキャンペーンに直面した。同社によると、採用担当者を装ったメールが求職者を、従業員管理ツールと称するアプリケーションのダウンロードへ誘導していた。

CrowdStrikeは2025年1月7日にこのキャンペーンを特定した。同社の分析によると、ダウンロードページにはWindowsとmacOSの選択肢が用意されていたが、どちらもXMRigを取得するRust製のWindows実行ファイルを配布していた。

処理を進める前に、この悪意あるアプリケーションはデバッグ用ソフトウェアの有無を確認し、稼働中のプロセス数を数え、CPUが少なくとも2コアあることを検証した。これらのチェックを通過すると、偽のエラーメッセージを表示し、マイナーのダウンロードを続行した。CrowdStrikeは、採用プロセスの一環として応募者にソフトウェアをダウンロードさせることは決してないと述べた。