Mineradores de Monero e o Gh0st RAT atingem servidores Microsoft SQL expostos

加载图片中

加载图片中

加载图片中

加载图片中

Compartilhar

O FortiGuard Labs descobriu uma campanha que invade servidores Microsoft SQL expostos à internet para instalar software de mineração de Monero e malware de acesso remoto capaz de roubar dados e controlar máquinas infectadas.

• Os atacantes usam senhas de banco de dados fracas para instalar um minerador de Monero e uma variante do Gh0st RAT.

• O programa de mineração se passa por um atualizador do Microsoft Edge enquanto utiliza o poder de processamento do servidor.

• Alterações no registro, serviços do Windows e tarefas agendadas ajudam o malware a manter o acesso aos sistemas comprometidos.

O FortiGuard Labs detalhou a operação em um relatório de 12 de novembro do pesquisador Xiaopeng Zhang, após a descoberta da atividade no início de outubro de 2026. A publicação não identifica os atacantes nem fornece um número confirmado de vítimas.

Senhas fracas do SQL Server permitem que atacantes instalem malware

De acordo com a pesquisa, as ferramentas de ataque buscam bancos de dados expostos e tentam fazer login usando credenciais predefinidas. A lista de senhas contém mais de 2.700 entradas, combinadas com nomes de usuário como “sa” e “admin”.

Após obter acesso, os atacantes executam comandos de banco de dados que habilitam o xp_cmdshell e instalam um downloader. O downloader obtém o minerador de Monero e o Gh0st RAT de um servidor controlado pelos atacantes.

A documentação da Microsoft afirma que o xp_cmdshell fica desativado em novas instalações do SQL Server e, em geral, deve permanecer desligado. Alguns aplicativos mais antigos ainda exigem o recurso, mas a empresa recomenda habilitá-lo apenas enquanto uma tarefa necessária estiver em execução.

O recurso abre um shell de comandos do Windows de dentro do SQL Server. A Microsoft explica que os comandos executados por um administrador de banco de dados por meio desse mecanismo herdam as permissões de segurança da conta de serviço do SQL Server. Sua orientação recomenda restringir o acesso a usuários com altos privilégios e usar uma conta proxy com menos privilégios quando não administradores precisarem do recurso.

A Microsoft observa que um não administrador precisa de uma credencial proxy configurada para usar o xp_cmdshell. Sem essa credencial, a operação falha. A empresa alerta que habilitar ou usar o recurso pode acionar ferramentas de auditoria de segurança.

Minerador de Monero se esconde atrás de um nome de atualização do Edge

O payload de mineração, MicrosoftEdgeUpdate.exe, usa a CPU da máquina comprometida para minerar Monero por meio do XMRig. Sua configuração contém um endereço de carteira e três endereços de pool de mineração, segundo a análise de Zhang.

Um segundo payload, winlogon.exe, é uma variante do Gh0st RAT com capacidades de keylogging, gerenciamento de arquivos e comandos remotos. As funções de captura de tela e de desktop remoto são fornecidas por meio de plugins; elas não estavam presentes na amostra analisada.

Os mecanismos de persistência descritos no relatório incluem entradas de registro, um serviço do Windows e tarefas agendadas. A tarefa agendada do RAT é executada a cada 30 minutos.

Os pesquisadores examinaram o RAT sem conectá-lo a um servidor de comando ativo, porque essa infraestrutura já havia sido desativada antes da análise.

Ataques anteriores a servidores combinavam mineradores com ferramentas de acesso remoto

Como o crypto.news noticiou anteriormente, em julho de 2024 os atacantes usaram servidores de compartilhamento de arquivos vulneráveis para distribuir mineradores de Monero e malware de acesso remoto. A investigação da AhnLab documentou ataques contra o Rejetto HTTP File Server, incluindo instalações de XMRig, XenoRAT e Gh0stRAT.

A AhnLab identificou pelo menos quatro atacantes que implantaram software de mineração por meio do serviço exposto, incluindo o grupo LemonDuck. Seus pesquisadores observaram invasores coletando informações do sistema, criando contas de backdoor e, em muitos casos, encerrando o servidor de arquivos após estabelecerem acesso, para impedir que outros atacantes o utilizassem.

Mais recentemente, a Apple corrigiu uma falha no macOS depois que atacantes exploraram o Compartilhamento de Tela para instalar mineradores de Monero. Em um aviso de 12 de agosto, o Centro Nacional de Segurança Cibernética dos Países Baixos confirmou invasões em vários sistemas cuja porta de Compartilhamento de Tela era acessível pela internet.

A agência afirmou que os atacantes obtiveram acesso root e instalaram um minerador em todos os casos relatados. Seu alerta descreveu uma falha de autenticação que permitia o acesso sem credenciais válidas, com correções disponíveis para macOS Sequoia, Sonoma e Tahoe.

Golpe de recrutamento da CrowdStrike entregou o mesmo software de mineração

A empresa norte-americana de cibersegurança CrowdStrike enfrentou, em janeiro de 2025, uma campanha separada de personificação envolvendo falsas ofertas de recrutamento. A empresa afirmou que e-mails se passando por seus recrutadores direcionavam candidatos a baixar um aplicativo apresentado como ferramenta de gestão de funcionários.

A CrowdStrike identificou a campanha em 7 de janeiro de 2025. Sua análise constatou que a página de download oferecia opções para Windows e macOS, embora ambas entregassem um executável para Windows escrito em Rust que baixava o XMRig.

Antes de prosseguir, o aplicativo malicioso verificava a presença de software de depuração, contava os processos ativos e confirmava que a CPU tinha pelo menos dois núcleos. Após passar por essas verificações, exibia uma mensagem de erro falsa e continuava o download do minerador. A CrowdStrike afirmou que nunca exige que os candidatos baixem software como parte de seu processo de recrutamento.