একটি হ্যাকিং অভিযান ইন্টারনেট-সংযুক্ত মাইক্রোসফ্ট SQL সার্ভার ডেটাবেসগুলিতে প্রবেশ করছে এবং দুটি অপ্রিয় বাসিন্দা রেখে যাচ্ছে: একটি মোনেরো মাইনার এবং একটি রিমোট অ্যাক্সেস ট্রোজান।
ফর্টিগার্ড ল্যাবস ২০২৬ সালের ১২ নভেম্বর এই অপারেশনটি প্রকাশ করে। আক্রমণকারীদের কোনো চালাকি ভিত্তিক জিরো-ডে এক্সপ্লয়িটের প্রয়োজন হয়নি। তাদের প্রধানত সার্ভার মালিকদের খারাপ পাসওয়ার্ড বেছে নিতে হয়েছিল।
গবেষকদের মতে, এই ক্যাম্পেইনটি অন্তত ২০২৬ সালের শুরুর দিকে থেকে সক্রিয় ছিল। ২০২৬ সালের ১২–১৩ নভেম্বর এর প্রকাশ্য প্রতিবেদন জারি হয়।
ব্রেক-ইন কিভাবে কাজ করে
আক্রমণটি পর্যবেক্ষণ দিয়ে শুরু হয়। অপারেটররা গো প্রোগ্রামিং ভাষায় লেখা একটি স্ক্যানার নাবু ব্যবহার করে বাইরে থেকে অ্যাক্সেসযোগ্য SQL Server ইনস্ট্যান্সগুলির জন্য ইন্টারনেট স্ক্যান করে।
পরবর্তী ধাপটি হল ব্রুট-ফোর্স পর্যায়। একটি .NET-ভিত্তিক টুল 2,700-এরও বেশি সাধারণ পাসওয়ার্ড পরীক্ষা করে, প্রতিটি পাসওয়ার্ড ব্যবহার করে লগইন সফল হওয়া পর্যন্ত।
একবার ভিতরে প্রবেশ করে, আক্রমণকারীরা ক্ষতিকারক T-SQL কমান্ড চালায়। T-SQL হল SQL Server-এর কোয়েরি ভাষা, এবং এখানে এটি xp_cmdshell নামক একটি ফিচার চালু করতে ব্যবহার করা হয়।
এই বৈশিষ্ট্যটি ডাটাবেসকে সরাসরি অধীনস্থ অপারেটিং সিস্টেমে নির্দেশ পাঠাতে দেয়। রেকর্ড সংরক্ষণের জন্য ডিজাইন করা একটি ডাটাবেস হঠাৎ করে সম্পূর্ণ সার্ভারে প্রশাসনিক কমান্ড চালানোর জন্য একটি লঞ্চপ্যাডে পরিণত হয়।
ফর্টিগার্ড ল্যাবস বলেছে যে এই অভিযানটি জটিল ভাইরাসের পরিবর্তে দুর্বল যাচাইকরণ এবং ভুল কনফিগারেশনের উপর নির্ভর করে।
দুটি পেলোড, দুটি ব্যবসায়িক মডেল
প্রথম পেলোডটি একটি ক্রিপ্টোকারেন্সি মাইনার, যা XMRig-এ তৈরি করা হয়েছে এবং মনেরো মাইনিং করে। এটি MicrosoftEdgeUpdate.exe নামে চলে, যা এমন একটি ফাইলনাম যা এতটাই বোরিং দেখায় যে একজন অ্যাডমিনিস্ট্রেটর চলমান প্রক্রিয়াগুলির মধ্যে স্ক্রোল করার সময় এটি উপেক্ষা করতে পারেন।
মাইনারটি বিক্ষিপ্তের সিপিইউ শক্তি খায় এবং মাইনিং পুলের সাথে সংযুক্ত হয়। গবেষকদের দ্বারা এটি যে পুলগুলির সাথে যোগাযোগ করে তার মধ্যে nanopool এবং kryptex শনাক্ত করা হয়েছে।
দ্বিতীয় পেলোড হল Gh0st RAT-এর একটি পরিবর্তনীয় রূপ, যা আক্রমণকারীকে আক্রান্ত মেশিনের উপর ব্যাপক নিয়ন্ত্রণ প্রদান করে।
এই সংস্করণটি ৩০ এর বেশি কমান্ড সমর্থন করে। এই তালিকায় ফাইল ম্যানেজমেন্ট, কীলগিং, স্ক্রিন ক্যাপচার, রিমোট ডেস্কটপ অ্যাক্সেস এবং QQ-এর জন্য ক্রেডেনশিয়াল চুরি অন্তর্ভুক্ত রয়েছে, যা একটি মেসেজিং প্ল্যাটফর্ম।
উভয় পেলোডই টিকে থাকার জন্য তৈরি করা হয়েছে। এগুলি রেজিস্ট্রি পরিবর্তন এবং সময়নির্ধারিত কাজের মাধ্যমে টিকে থাকা নিশ্চিত করে, তাই একটি সাধারণ পুনরায় শুরু দ্বারা এগুলিকে বাদ দেওয়া যাবে না।
অবকাঠামো এবং আরোপের প্রশ্ন
কমান্ড-অ্যান্ড-কন্ট্রোল সেটআপটি server.vietnam852[.]com এবং www.swordaa[.]com সহ ডোমেইনগুলির উপর নির্ভর করেছিল। এগুলি হল ম্যালওয়্যারটি নির্দেশের জন্য ফোন করে এমন সার্ভারগুলি।
যখন গবেষকদের গভীরে খুঁজতে হয়েছিল, তখন কয়েকটি উপাদান ইতিমধ্যেই নিভে গিয়েছিল।
কোনো পীড়িতের সংখ্যা নিশ্চিত করা হয়নি। দায়ীদের পরিচয়ও সীমিত: ম্যালওয়্যারে পাওয়া একমাত্র ইঙ্গিত হলো চীনা ভাষার বৈশিষ্ট্য।
ফর্টিগার্ড ল্যাবস এই অভিযানকে কোনো নির্দিষ্ট অ্যাক্টরের সাথে সংযুক্ত করেনি।
এর অর্থ কী
SQL Server চালানো সংস্থাগুলির জন্য, স্পষ্ট সমাধানগুলি হল অনুপস্থিত সমাধান। শক্তিশালী, অনন্য যাচাইকরণ একটি 2,700-পাসওয়ার্ড ডিকশনারি পরাজিত করে। ডেটাবেসগুলিকে পাবলিক ইন্টারনেট থেকে দূরে রাখলে সেগুলিকে স্ক্যানারের তালিকা থেকে সম্পূর্ণরূপে সরিয়ে ফেলা হয়। xp_cmdshell অক্ষম রাখলে ডেটাবেস থেকে অপারেটিং সিস্টেমের ব্রিজটি বন্ধ হয়ে যায়।
রক্ষকদের জন্য অনুসন্ধানের জন্য প্রায়োগিক সংকেতও রয়েছে। একটি ডাটাবেস সার্ভারে MicrosoftEdgeUpdate.exe প্রক্রিয়াটি CPU খরচ করছে, এটি আবার পরীক্ষা করার দরকার আছে। অপ্রত্যাশিত সময়সূচীবদ্ধ কাজ, অস্বাভাবিক রেজিস্ট্রি এন্ট্রি এবং nanopool বা kryptex এর মতো মাইনিং পুলের সাথে বাইরের সংযোগও একইভাবে পরীক্ষা করা দরকার।
শিকারদের জন্য বড় ঝুঁকি হল মাইনার নয়। কীস্ট্রোক লগ করে, স্ক্রিন ধরে এবং যাচাইকরণের তথ্য চুরি করে এমন একটি RAT একটি সংক্রমিত ডাটাবেসকে একটি পুরো নেটওয়ার্কের জন্য একটি পদার্পণের ভিত্তি হয়ে দাঁড়াতে পারে।
মাইনার পরিষ্কার করার সময় ট্রোজান খুঁজে না পেলে আক্রমণকারীদের কখনই সত্যিকার অর্থে চলে যাওয়া হয়নি বলে বোঝা যাবে।