SQL Server bị xâm nhập, cài công cụ đào Monero(XMR) và Gh0st RAT

Máy chủ Microsoft(MSFT) SQL Server công khai trên internet bị tấn công và cài cả công cụ đào Monero(XMR) lẫn mã độc điều khiển từ xa Gh0st RAT. Kẻ tấn công lợi dụng chức năng cơ sở dữ liệu để chạy lệnh Windows và tải tệp độc hại xuống máy chủ.

Chiến dịch bắt đầu vào đầu tháng 10/2026. Trong phân tích kỹ thuật công bố ngày 12, FortiGuard Labs mô tả quy trình tấn công.

Kẻ tấn công tìm các máy chủ SQL Server lộ trên internet. Chúng dùng trình quét Naabu có trong tệp độc hại để dò những máy chủ phản hồi tại cổng TCP 1433, cổng kết nối mặc định.

Sau đó, chúng thử đăng nhập bằng các tên người dùng như “sa” và “admin”, kết hợp với danh sách hơn 2.700 mật khẩu. Phân tích nêu hai bước xâm nhập là dò máy chủ và thử mật khẩu.

Sau khi đăng nhập thành công, kẻ tấn công dùng lệnh T-SQL để bật “xp_cmdshell”. Tính năng này cho phép chạy lệnh Windows từ cơ sở dữ liệu.

Chúng dùng tính năng đó để tải thêm tệp độc hại và thực thi. Bộ tải thiết lập các tác vụ theo lịch và chỉnh sửa registry để duy trì hoạt động của tệp độc hại.

Một số tệp và tác vụ theo lịch được đặt tên gợi liên tưởng đến bản cập nhật Microsoft Edge. Tệp “MicrosoftEdgeUpdate.exe” thực chất là công cụ đào tiền mã hóa, không phải trình cập nhật trình duyệt.

Dựa trên XMRig, công cụ này sử dụng CPU của máy chủ bị nhiễm để đào Monero. Phân tích của FortiGuard Labs cũng cho thấy công cụ liên lạc với một mining pool.

Tệp “winlogon.exe” được phát tán cùng công cụ đào đã được xác định là một biến thể của Gh0st RAT. Tệp mà FortiGuard Labs phân tích có chức năng ghi lại thao tác bàn phím, đánh cắp dữ liệu và hơn 30 lệnh điều khiển.

Chụp màn hình và điều khiển máy tính từ xa là các chức năng được cung cấp qua plugin. Chúng khác với những chức năng được xác nhận trực tiếp trong tệp đã phân tích.

Vào thời điểm phân tích, máy chủ điều khiển Gh0st RAT đã ngoại tuyến. Nhóm nghiên cứu phân tích tĩnh các tệp độc hại và không xác nhận được nội dung liên lạc giữa máy chủ bị nhiễm với máy chủ điều khiển.

Trong cuộc phỏng vấn với CSO Online, Shane Barney, Giám đốc an ninh thông tin của Keeper Security, nói: “Cơ sở dữ liệu lộ ra internet có thể xuất hiện ngoài ý muốn do nợ kỹ thuật hoặc lỗi cấu hình, nhưng việc dựa vào thông tin đăng nhập cố định, luôn hoạt động sẽ biến sự phơi bày đó thành một lỗ hổng nghiêm trọng”. Ông nói thêm, hoạt động đào tiền mã hóa có thể được dùng như “màn khói” để che giấu việc duy trì quyền truy cập lâu dài thông qua công cụ điều khiển từ xa.

Trong tài liệu bảo mật SQL Server, Microsoft cho biết xp_cmdshell được tắt theo mặc định và thường nên để ở trạng thái tắt. Nếu cần sử dụng, Microsoft khuyến nghị chỉ bật tính năng này trong thời gian thực hiện công việc.

Microsoft cũng nêu trong hướng dẫn cấu hình tường lửa rằng cần chỉ cho người dùng hoặc hệ thống được phê duyệt truy cập vào SQL Server Database Engine.