Kampanye peretasan sedang membobol basis data Microsoft SQL Server yang terhubung ke internet dan meninggalkan dua penghuni tak diundang: penambang Monero dan trojan akses jarak jauh.
FortiGuard Labs mengungkapkan operasi tersebut pada 12 November 2026. Para penyerang tidak memerlukan eksploit zero-day yang cerdas. Mereka sebagian besar hanya perlu pemilik server memilih kata sandi yang buruk.
Kampanye telah aktif sejak setidaknya awal Oktober 2026, menurut para peneliti. Pelaporan publik mengikuti pada 12–13 November 2026.
Bagaimana cara peretasan bekerja
Serangan dimulai dengan pengintaian. Operator menggunakan Naabu, sebuah pemindai yang ditulis dalam bahasa pemrograman Go, untuk memindai internet guna mencari instance SQL Server yang dapat diakses dari luar.
Berikutnya datang tahap kekerasan. Alat berbasis .NET mengulang lebih dari 2.700 kata sandi umum, mencoba masing-masing hingga login berhasil.
Setelah masuk, penyerang menjalankan perintah T-SQL jahat. T-SQL adalah bahasa kueri yang digunakan SQL Server, dan di sini digunakan untuk mengaktifkan fitur yang disebut xp_cmdshell.
Fitur tersebut memungkinkan database mengirimkan instruksi langsung ke sistem operasi dasar. Database yang seharusnya menyimpan catatan tiba-tiba menjadi titik peluncuran untuk menjalankan perintah administratif pada seluruh server.
FortiGuard Labs menekankan bahwa kampanye ini mengandalkan kredensial lemah dan konfigurasi salah daripada kerentanan yang canggih.
Dua payload, dua model bisnis
Payload pertama adalah penambang mata uang kripto yang dibangun di atas XMRig, menambang Monero. Ia berjalan dengan nama MicrosoftEdgeUpdate.exe, sebuah nama file yang dipilih agar terlihat membosankan sehingga administrator yang melihat daftar proses yang berjalan mungkin tidak akan memperhatikannya.
Penambang memakan daya CPU korban dan terhubung ke pool penambangan. Peneliti mengidentifikasi nanopool dan kryptex di antara pool yang dihubungi.
Payload kedua adalah varian dari Gh0st RAT, trojan akses jarak jauh yang memberikan penyerang kendali luas atas mesin yang terinfeksi.
Versi ini mendukung lebih dari 30 perintah. Daftar tersebut mencakup manajemen file, keylogging, tangkapan layar, akses desktop jarak jauh, dan pencurian kredensial untuk QQ, sebuah platform pesan.
Kedua payload dirancang untuk tetap bertahan. Mereka membangun persistensi melalui modifikasi registri dan tugas terjadwal, sehingga reboot sederhana tidak akan mengusir mereka.
Infrastruktur dan pertanyaan atribusi
Pengaturan command-and-control mengandalkan domain-termasuk server.vietnam852[.]com dan www.swordaa[.]com. Ini adalah server tempat malware melaporkan diri untuk menerima instruksi.
Saat para peneliti mulai menyelidiki, beberapa komponen sudah mati.
Jumlah korban belum dikonfirmasi. Penugasan juga masih lemah: satu-satunya petunjuk selain indikator teknis adalah ciri-ciri bahasa Tiongkok yang ditemukan dalam malware.
FortiGuard Labs belum mengaitkan kampanye ini dengan aktor tertentu.
Apa artinya ini
Untuk organisasi yang menjalankan SQL Server, perbaikan yang jelas adalah yang tidak glamor. Kredensial yang kuat dan unik menggagalkan kamus 2.700 kata sandi. Menjaga database agar tidak terhubung ke internet publik menghapusnya sepenuhnya dari daftar pemindai. Menjaga xp_cmdshell tetap dinonaktifkan menutup jembatan dari database ke sistem operasi.
Defender juga memiliki sinyal konkret untuk dicari. Proses bernama MicrosoftEdgeUpdate.exe yang memakan CPU pada server database patut mendapat perhatian lebih lanjut. Demikian pula tugas terjadwal yang tidak diharapkan, entri registri yang tidak biasa, dan koneksi keluar ke pool penambangan seperti nanopool atau kryptex.
Risiko yang lebih besar bagi korban bukanlah penambang. RAT yang mencatat penekanan tombol, menangkap layar, dan mencuri kredensial dapat mengubah satu database yang terkompromi menjadi titik awal di seluruh jaringan.
Tim keamanan yang membersihkan penambang tanpa mencari trojan mungkin menemukan para penyerang sebenarnya tidak pernah pergi.