載入圖片中Lawrence Mondal
載入圖片中Olivia Stephanie
載入圖片中Monero 礦工與 Gh0st RAT 攻擊暴露的 Microsoft SQL Server - 1
載入圖片中Rail

分享

FortiGuard Labs 發現了一波攻擊行動，其入侵暴露於網際網路的 Microsoft SQL Server，以安裝 Monero 挖礦軟體，以及能夠竊取資料並控制受感染機器的遠端存取惡意軟體。

• 攻擊者利用薄弱的資料庫密碼，安裝 Monero 挖礦程式與 Gh0st RAT 變種。

• 該挖礦程式偽裝成 Microsoft Edge 更新程式，同時利用伺服器的運算能力。

• 登錄檔變更、Windows 服務與排程工作協助該惡意軟體維持對遭入侵系統的存取權限。

FortiGuard Labs 研究員 Xiaopeng Zhang 在 11 月 12 日的報告中詳述了這項行動，此前該實驗室已於 2026 年 10 月初發現此活動。該報告並未指明攻擊者身分，也未提供經確認的受害者數量。

SQL Server 弱密碼讓攻擊者得以安裝惡意軟體

根據這項研究，攻擊工具會搜尋暴露在外的資料庫，並嘗試以預先設定的憑證登入。密碼清單包含超過 2,700 筆項目，搭配「sa」與「admin」等使用者名稱。

取得存取權限後，攻擊者會執行資料庫指令以啟用 xp_cmdshell 並安裝下載器。該下載器會從攻擊者控制的伺服器取得 Monero 挖礦程式與 Gh0st RAT。

微軟的文件指出，全新安裝的 SQL Server 預設會停用 xp_cmdshell，且一般應維持關閉狀態。部分較舊的應用程式仍需要它，但微軟建議僅在執行必要工作時才啟用。

這項功能可從 SQL Server 內部開啟 Windows 命令殼層。微軟說明，資料庫管理員透過此機制執行的命令，會繼承 SQL Server 服務帳戶的安全權限。其指引建議將存取權限限制於高權限使用者，並在非管理員需要使用此功能時，改用權限較低的代理帳戶。

微軟指出，非管理員必須具備已設定的代理憑證才能使用 xp_cmdshell。若無該憑證，操作便會失敗。微軟警告，啟用或使用此功能可能會觸發安全稽核工具。

Monero 挖礦程式藏身於 Edge 更新名稱之下

挖礦酬載 MicrosoftEdgeUpdate.exe 利用遭入侵機器的 CPU，透過 XMRig 挖掘 Monero。根據 Zhang 的分析，其組態設定包含一個錢包地址與三個礦池地址。

第二個酬載 winlogon.exe 是 Gh0st RAT 的變種，具備鍵盤記錄、檔案管理與遠端指令功能。螢幕擷取與遠端桌面功能是透過外掛程式提供；這些功能並未出現在所分析的樣本中。

報告中描述的持續駐留機制包括登錄檔項目、一個 Windows 服務，以及排程工作。該 RAT 的排程工作每 30 分鐘執行一次。

研究人員在未連接實際命令伺服器的情況下檢視了該 RAT，因為該基礎設施在分析之前便已關閉。

先前的伺服器攻擊將挖礦程式與遠端存取工具搭配使用

正如crypto.news先前報導，攻擊者於2024年7月利用有漏洞的檔案分享伺服器散布Monero挖礦程式與遠端存取惡意軟體。AhnLab的調查記錄了針對Rejetto HTTP File Server的攻擊，包括安裝XMRig、XenoRAT與Gh0stRAT。

AhnLab辨識出至少四組攻擊者透過該暴露的服務部署挖礦軟體，其中包括LemonDuck集團。其研究人員觀察到入侵者蒐集系統資訊、建立後門帳號，且在許多情況下於取得存取權後終止該檔案伺服器，以防其他攻擊者加以利用。

較近期，蘋果在攻擊者利用螢幕共享安裝Monero挖礦程式後，修補了一項macOS漏洞。荷蘭國家網路安全中心在8月12日的公告中證實，多個系統遭到入侵，其螢幕共享連接埠可從網際網路觸及。

該機構表示，在每一宗通報案例中，攻擊者都取得了 root 權限並安裝了挖礦程式。其公告指出一項身分驗證弱點，可讓攻擊者在沒有有效憑證的情況下取得存取權限，並已為 macOS Sequoia、Sonoma 與 Tahoe 提供修補程式。

CrowdStrike 招募詐騙散布了同一款挖礦軟體

美國資安公司 CrowdStrike 於 2025 年 1 月遭遇另一起冒名詐騙行動，涉及假的招募邀約。該公司表示，冒充其招募人員的電子郵件引導求職者下載一款以員工管理工具名義呈現的應用程式。

CrowdStrike 於 2025 年 1 月 7 日發現這起攻擊活動。其分析發現，該下載頁面提供 Windows 與 macOS 兩種選項，但兩者實際上都會下載一個以 Rust 撰寫的 Windows 執行檔，該檔案會取得 XMRig。

在繼續執行之前，這個惡意應用程式會檢查是否有除錯軟體、計算作用中的處理程序數量，並確認 CPU 至少有兩個核心。通過這些檢查後，它會顯示一則假的錯誤訊息，並繼續下載挖礦程式。CrowdStrike 表示，該公司從不要求求職者在招募過程中下載軟體。