加载图片中Lawrence Mondal
加载图片中Olivia Stephanie
加载图片中门罗币挖矿程序与Gh0st RAT攻击暴露的Microsoft SQL Server - 1
加载图片中Rail

分享

FortiGuard Labs发现了一项攻击活动，该活动会入侵面向互联网的Microsoft SQL Server，以安装门罗币挖矿软件和能够窃取数据并控制受感染机器的远程访问恶意软件。

• 攻击者利用弱数据库密码安装门罗币挖矿程序和Gh0st RAT的一个变种。

• 该挖矿程序伪装成Microsoft Edge更新程序，同时利用服务器的处理能力。

• 注册表更改、Windows服务和计划任务帮助该恶意软件维持对受感染系统的访问。

FortiGuard Labs在研究员Xiaopeng Zhang于11月12日发布的报告中详细介绍了此次行动，此前该实验室于2026年10月初发现了这一活动。该报告未指明攻击者身份，也未给出确认的受害者数量。

SQL Server弱口令使攻击者得以安装恶意软件

根据该研究，攻击工具会搜索暴露在外的数据库，并尝试使用预定义凭据登录。密码列表包含超过2,700条记录，并与“sa”和“admin”等用户名配对使用。

在获得访问权限后，攻击者会执行数据库命令以启用xp_cmdshell并安装一个下载器。该下载器会从攻击者控制的服务器上获取Monero挖矿程序和Gh0st RAT。

微软的文档指出，在新的 SQL Server 安装中，xp_cmdshell 默认处于禁用状态，并且通常应保持关闭。一些较旧的应用程序仍然需要它，但微软建议仅在执行必要任务时临时启用。

该功能可从 SQL Server 内部打开 Windows 命令 shell。微软解释说，数据库管理员通过此机制执行的命令会继承 SQL Server 服务账户的安全权限。其指南建议将访问权限限制在具有高权限的用户范围内，并在非管理员需要使用该功能时，改用权限较低的代理账户。

微软指出，非管理员用户需要使用已配置的代理凭据才能使用 xp_cmdshell。如果没有该凭据，操作将失败。微软警告称，启用或使用该功能可能会触发安全审计工具。

门罗币挖矿程序隐藏在Edge更新名称背后

该挖矿载荷名为MicrosoftEdgeUpdate.exe，利用受感染机器的CPU通过XMRig挖掘门罗币。据Zhang的分析，其配置中包含一个钱包地址和三个矿池地址。

第二个载荷winlogon.exe是Gh0st RAT的一个变种，具备键盘记录、文件管理和远程命令执行能力。屏幕捕获和远程桌面功能通过插件提供；在分析的样本中并未包含这些插件。

报告中描述的持久化机制包括注册表项、一个Windows服务以及计划任务。该RAT的计划任务每30分钟运行一次。

研究人员在未将其连接到实时命令服务器的情况下对该RAT进行了分析，因为该基础设施在分析开始前已经关闭。

早期的服务器攻击将挖矿程序与远程访问工具搭配使用

正如crypto.news此前报道，2024年7月，攻击者利用存在漏洞的文件共享服务器分发Monero挖矿程序和远程访问恶意软件。AhnLab的调查记录了对Rejetto HTTP File Server的攻击，包括安装XMRig、XenoRAT和Gh0stRAT。

AhnLab确认至少有四个攻击者通过该暴露的服务部署挖矿软件，其中包括LemonDuck组织。其研究人员观察到入侵者收集系统信息、创建后门账户，并且在许多情况下在获得访问权限后终止文件服务器，以防止其他攻击者使用它。

最近，在攻击者利用屏幕共享安装Monero挖矿程序后，苹果修补了一个macOS漏洞。在8月12日的一份公告中，荷兰国家网络安全中心确认了多起入侵事件，这些系统的屏幕共享端口可从互联网访问。

该机构表示，在每一起报告的案例中，攻击者都获得了root访问权限并安装了挖矿程序。其公告描述了一个身份验证漏洞，该漏洞允许在没有有效凭据的情况下获得访问权限，macOS Sequoia、Sonoma和Tahoe已提供修复程序。

CrowdStrike招聘骗局传播了同一款挖矿软件

美国网络安全公司CrowdStrike在2025年1月遭遇了一起独立的冒充活动，涉及虚假招聘邀约。该公司表示，冒充其招聘人员的电子邮件引导求职者下载一款被包装成员工管理工具的应用程序。

CrowdStrike于2025年1月7日识别出该活动。其分析发现，该下载页面提供了Windows和macOS两个选项，但两者实际提供的都是一个用Rust编写的Windows可执行文件，该文件会获取XMRig。

在继续执行之前，该恶意应用程序会检查是否存在调试软件、统计活动进程数量，并验证CPU是否至少有两个核心。通过上述检查后，它会显示一条虚假的错误消息，并继续下载挖矿程序。CrowdStrike表示，其招聘流程从不需要候选人下载软件。