ハッキングキャンペーンがインターネットに接続されたMicrosoft SQL Serverデータベースに侵入し、Moneroマイナーとリモートアクセストロイの木馬という2つの不歓迎な存在を残しています。
FortiGuard Labsは2026年11月12日にこの攻撃を公表しました。攻撃者たちは高度なゼロデイ脆弱性を必要とせず、主にサーバー所有者が弱いパスワードを選択することを必要としていました。
研究者によると、このキャンペーンは2026年10月上旬から少なくとも活動を続けています。公的な報告は2026年11月12日～13日に続きました。
侵入の仕組み
攻撃はリコネサンスから始まります。オペレーターはGo言語で書かれたスキャナーであるNaabuを使用して、外部からアクセス可能なSQL Serverインスタンスをインターネット上でスキャンします。
次にブルートフォース段階が続きます。.NETベースのツールが2,700以上の一般的なパスワードを繰り返し試行し、ログインが成功するまで続けます。
内部に入ると、攻撃者は悪意のあるT-SQLコマンドを実行します。T-SQLはSQL Serverが使用するクエリ言語であり、ここではxp_cmdshellという機能を有効化するために使用されています。
この機能により、データベースは直接下位のオペレーティングシステムに命令を渡すことができます。記録を保存するはずだったデータベースが、サーバー全体で管理コマンドを実行するための起動ポイントに突然変貌します。
FortiGuard Labsは、このキャンペーンが高度な脆弱性ではなく、弱い資格情報や設定ミスに依存していると強調しました。
二つのペイロード、二つのビジネスモデル
最初のペイロードはXMRigに基づく仮想通貨マイナーで、Moneroをマイニングします。これはMicrosoftEdgeUpdate.exeという名前で実行され、管理者が実行中のプロセスをスクロールしている際にも気づかれないように、退屈なファイル名が選ばれています。
マイナーは被害者のCPUリソースを消費し、マイニングプールに接続します。研究者は、そのマイナーが通信するプールとしてNanopoolとKryptexを特定しました。
二番目のペイロードは、感染したマシンに対して攻撃者に広範な制御権を付与するリモートアクセストロイの木馬であるGh0st RATの変種です。
このバージョンは30以上のコマンドをサポートしています。リストにはファイル管理、キーロギング、スクリーンキャプチャ、リモートデスクトップアクセス、およびメッセージングプラットフォームQQの資格情報の盗難が含まれます。
両方のペイロードは長期間残るように設計されています。レジストリの変更とスケジュールされたタスクを通じて永続化を確立するため、単純な再起動では除去されません。
インフラと帰属の問題
コマンド＆コントロール設定は、server.vietnam852[.]comやwww.swordaa[.]comなどのドメインに依存していました。これらはマルウェアが指示を受信するために通信するサーバーです。
研究者が調査を始めた頃には、複数のコンポーネントが既に停止していた。
被害者数は確認されていません。帰属も明確ではありません。技術的指標を超えて、マルウェアに見られるのは中国語の特徴のみです。
FortiGuard Labsは、このキャンペーンを特定のアクターに結びつけていません。
これは何を意味するのか
SQL Serverを運用している組織にとって、明確な対策は地味なものである。強力で一意の資格情報は2,700語の辞書攻撃を防ぐ。データベースをパブリックインターネットから隔離すれば、スキャナーの対象から完全に除外される。xp_cmdshellを無効にしたままにすれば、データベースとオペレーティングシステムとの間の橋渡しが閉じられる。
防御側にも探すべき具体的なシグナルがあります。データベースサーバー上でMicrosoftEdgeUpdate.exeがCPUを大量に消費している場合は、再確認が必要です。予期しないスケジュール済みタスク、異常なレジストリエントリ、nanopoolやkryptexのようなマイニングプールへの外部接続も同様です。
被害者にとってより大きなリスクはマイナーではありません。キーストロークをログに記録し、画面をキャプチャし、資格情報を盗むRATは、1つの侵害されたデータベースを全体のネットワークへの足がかりに変えることができます。
トロイの木馬を探さずにマイナーを削除するセキュリティチームは、攻撃者が本当に去っていないことに気付くかもしれません。