Una campaña de hacking está ingresando a bases de datos Microsoft SQL Server expuestas a internet y dejando tras de sí dos inquilinos no deseados: un minero de Monero y un troyano de acceso remoto.
FortiGuard Labs reveló la operación el 12 de noviembre de 2026. Los atacantes no necesitaban un exploit de día cero ingenioso. Principalmente necesitaban que los propietarios de los servidores eligieran contraseñas débiles.
La campaña ha estado activa desde al menos principios de octubre de 2026, según los investigadores. Los informes públicos siguieron el 12 al 13 de noviembre de 2026.
Cómo funciona el robo
El ataque comienza con la reconocimiento. Los operadores utilizan Naabu, un escáner escrito en el lenguaje de programación Go, para explorar internet en busca de instancias de SQL Server que sean accesibles desde el exterior.
Luego viene la etapa de fuerza bruta. Una herramienta basada en .NET prueba más de 2,700 contraseñas comunes, intentando cada una hasta que el inicio de sesión funcione.
Una vez dentro, los atacantes ejecutan comandos T-SQL maliciosos. T-SQL es el lenguaje de consultas que utiliza SQL Server, y aquí se emplea para activar una función llamada xp_cmdshell.
Esa función permite que la base de datos pase instrucciones directamente al sistema operativo subyacente. Una base de datos que estaba destinada a almacenar registros se convierte repentinamente en una plataforma de lanzamiento para ejecutar comandos administrativos en todo el servidor.
FortiGuard Labs enfatizó que la campaña se basa en credenciales débiles y malas configuraciones en lugar de vulnerabilidades sofisticadas.
Dos cargas útiles, dos modelos de negocio
La primera carga útil es un minero de criptomonedas construido sobre XMRig que mina Monero. Se ejecuta bajo el nombre MicrosoftEdgeUpdate.exe, un nombre elegido para parecer lo suficientemente aburrido como para que un administrador que revisa los procesos en ejecución no lo note.
El minero consume la potencia de CPU de la víctima y se conecta a pools de minería. Los investigadores identificaron nanopool y kryptex entre los pools a los que se comunica.
La segunda carga útil es una variante de Gh0st RAT, un troyano de acceso remoto que otorga al atacante un amplio control sobre la máquina infectada.
Esta versión admite más de 30 comandos. La lista cubre gestión de archivos, keylogging, captura de pantalla, acceso al escritorio remoto y robo de credenciales para QQ, una plataforma de mensajería.
Ambas cargas útiles están diseñadas para permanecer. Establecen persistencia mediante modificaciones en el registro y tareas programadas, por lo que un simple reinicio no las eliminará.
La infraestructura y la pregunta de atribución
La configuración de comando y control dependía de dominios que incluían server.vietnam852[.]com y www.swordaa[.]com. Estos son los servidores a los que el malware se comunica para recibir instrucciones.
Cuando los investigadores comenzaron a examinar, varios componentes ya se habían apagado.
No se ha confirmado ningún conteo de víctimas. La atribución también sigue siendo escasa: la única pista además de los indicadores técnicos son rasgos en idioma chino encontrados en el malware.
FortiGuard Labs no ha vinculado la campaña con ningún actor específico.
Qué significa esto
Para las organizaciones que ejecutan SQL Server, las soluciones obvias son las menos llamativas. Credenciales fuertes y únicas derrotan un diccionario de 2.700 contraseñas. Mantener las bases de datos fuera de internet público las elimina por completo de la lista del escáner. Dejar xp_cmdshell deshabilitado cierra el puente desde la base de datos hasta el sistema operativo.
Los defensores también tienen señales concretas que buscar. Un proceso llamado MicrosoftEdgeUpdate.exe que consume CPU en un servidor de base de datos merece una segunda mirada. Lo mismo ocurre con tareas programadas inesperadas, entradas de registro inusuales y conexiones salientes a pools de minería como nanopool o kryptex.
El mayor riesgo para las víctimas no es el minero. Un RAT que registra teclas, captura pantallas y roba credenciales puede convertir una base de datos comprometida en un punto de apoyo en toda una red.
Los equipos de seguridad que eliminan al minero sin buscar el troyano pueden descubrir que los atacantes nunca realmente se fueron.