حملة قرصنة تختبر قواعد بيانات Microsoft SQL Server المعرضة للإنترنت وتترك خلفها مضيفين غير مرغوب فيهما: معدن Monero وبرنامج خبيث للوصول عن بُعد.
كشفت مختبرات FortiGuard عن العملية في 12 نوفمبر 2026. لم يكن المهاجمون بحاجة إلى استغلال صفر يوم ذكي. كانوا بحاجة في الغالب إلى أن يختار مالكو الخوادم كلمات مرور ضعيفة.
كانت الحملة نشطة منذ على الأقل أوائل أكتوبر 2026، وفقًا للباحثين. تبع ذلك الإبلاغ العام في 12–13 نوفمبر 2026.
كيفية عمل الاختراق
يبدأ الهجوم بجمع المعلومات. يستخدم المشغلون Naabu، وهو ماسح مكتوب بلغة البرمجة Go، لفحص الإنترنت بحثًا عن حالات SQL Server التي يمكن الوصول إليها من الخارج.
يأتي بعد ذلك مرحلة القوة الغاشمة. يدور أداة مبنية على .NET خلال أكثر من 2,700 كلمة مرور شائعة، ويجرب كل واحدة حتى يعمل تسجيل الدخول.
بمجرد الدخول، يُنفّذ المهاجمون أوامر T-SQL الخبيثة. T-SQL هي لغة الاستعلام التي يستخدمها SQL Server، ويُستخدم هنا لتفعيل ميزة تُسمى xp_cmdshell.
تتيح هذه الميزة قاعدة البيانات من إرسال تعليمات مباشرة إلى نظام التشغيل الأساسي. قاعدة بيانات كان من المفترض أن تخزن السجلات تصبح فجأة منصة لإطلاق أوامر إدارية على الخادم بأكمله.
أكدت مختبرات FortiGuard أن الحملة تعتمد على بيانات اعتماد ضعيفة وتهيئة خاطئة بدلاً من الثغرات المعقدة.
حمولتان، نموذجان تجاريّان
الحمولة الأولى هي برنامج تعدين عملات مشفرة مبني على XMRig، ويقوم بتعدين Monero. يعمل تحت اسم MicrosoftEdgeUpdate.exe، وهو اسم تم اختياره ليبدو مملًا بما يكفي بحيث لا ينتبه إليه المدير أثناء التمرير عبر العمليات الجارية.
يستهلك المُستخرج قوة وحدة المعالجة المركزية للضحية ويتصل بمجموعات التعدين. حدد الباحثون nanopool وkryptex بين المجموعات التي يتواصل معها.
الحمولة الثانية هي نسخة من Gh0st RAT، وهو فيروس خبيث للوصول البعيد يمنح المهاجم تحكمًا واسعًا في الجهاز المصاب.
هذه النسخة تدعم أكثر من 30 أمرًا. وتشمل القائمة إدارة الملفات، وتسجيل المفاتيح، وتقنيات التقاط الشاشة، والوصول عن بُعد إلى سطح المكتب، وسرقة بيانات الاعتماد لمنصة QQ للمراسلة.
تم بناء كلا الحمولة للاستمرار. فهي تُنشئ استمرارية من خلال تعديلات السجل والمهام المجدولة، لذا لن يتم إزالتها ببساطة عبر إعادة التشغيل.
البنية التحتية ومسألة النسب
اعتمد إعداد القيادة والتحكم على نطاقات تشمل server.vietnam852[.]com و www.swordaa[.]com. هذه هي الخوادم التي يتصل بها البرنامج الضار لإرسال التعليمات.
بحلول الوقت الذي بدأ فيه الباحثون في التحقيق، كانت عدة مكونات قد توقفت بالفعل.
لم يتم تأكيد عدد الضحايا. كما أن التحديد لا يزال ضعيفًا: المؤشر الوحيد خارج المؤشرات التقنية هو السمات باللغة الصينية التي وُجدت في البرنامج الضار.
لم تربط مختبرات FortiGuard الحملة بأي جهات فاعلة محددة.
ماذا يعني ذلك
للمنظمات التي تستخدم SQL Server، تكون الإصلاحات الواضحة هي تلك غير الجذابة. كلمات المرور القوية والفردية تقضي على قاموس يحتوي على 2700 كلمة مرور. إبقاء قواعد البيانات خارج الإنترنت العام يزيلها تمامًا من قائمة الماسح. إبقاء xp_cmdshell معطلًا يغلق الجسر من قاعدة البيانات إلى نظام التشغيل.
لدي المدافعون أيضًا إشارات ملموسة للبحث عنها. عملية تُسمى MicrosoftEdgeUpdate.exe تستهلك وحدة المعالجة المركزية على خادم قاعدة بيانات تستحق نظرة ثانية. وكذلك المهام المجدولة غير المتوقعة، وإدخالات السجل غير العادية، والاتصالات الصادرة إلى مجمعات التعدين مثل nanopool أو kryptex.
المخاطر الأكبر للضحايا ليست المُستخرج. برنامج ريموت أكسيس تروجان (RAT) الذي يسجل مفاتيح لوحة المفاتيح، ويُلتقط الشاشات، ويسرق بيانات الاعتماد يمكنه تحويل قاعدة بيانات واحدة مخترقة إلى نقطة دخول عبر شبكة كاملة.
فرق الأمن التي تنظف المعدن دون البحث عن الفيروس الخبيث قد تجد أن المهاجمين لم يغادروا حقًا.