Kempen perompakan sedang menembusi pangkalan data Microsoft SQL Server yang terbuka ke internet dan meninggalkan dua penyewa yang tidak diingini: penambang Monero dan trojan akses jauh.
FortiGuard Labs mengungkapkan operasi tersebut pada 12 November 2026. Penyerang tidak memerlukan eksploit zero-day yang canggih. Mereka sebagian besar hanya memerlukan pemilik server untuk memilih kata sandi yang lemah.
Kempen ini telah aktif sejak sekurang-kurangnya awal Oktober 2026, menurut penyelidik. Laporan awam mengikuti pada 12–13 November 2026.
Bagaimana cara perncurian berlaku
Serangan bermula dengan pengesanan. Operator menggunakan Naabu, alat pemindai yang ditulis dalam bahasa pengaturcaraan Go, untuk mengesan internet bagi mencari contoh SQL Server yang boleh diakses dari luar.
Seterusnya ialah peringkat kekuatan kasar. Sebuah alat berasaskan .NET mengitar lebih daripada 2,700 kata laluan biasa, mencuba setiap satu sehingga log masuk berjaya.
Setelah masuk, penyerang menjalankan arahan T-SQL jahat. T-SQL adalah bahasa soalan yang dibicarakan oleh SQL Server, dan di sini ia digunakan untuk menghidupkan ciri yang dipanggil xp_cmdshell.
Ciri itu membolehkan pangkalan data menghantar arahan secara langsung kepada sistem pengendalian yang mendasarinya. Sebuah pangkalan data yang sepatutnya menyimpan rekod tiba-tiba menjadi platform pelancaran untuk menjalankan arahan pentadbiran keseluruhan pelayan.
FortiGuard Labs menekankan bahawa kempen ini bergantung pada kredensial lemah dan konfigurasi salah, bukan kerentanan yang canggih.
Dua beban, dua model perniagaan
Payload pertama ialah penambang mata wang kripto yang dibina berdasarkan XMRig, menambang Monero. Ia berjalan di bawah nama MicrosoftEdgeUpdate.exe, satu nama fail yang dipilih supaya kelihatan membosankan cukup untuk seorang pentadbir yang menggulir melalui proses yang sedang berjalan mungkin tidak memperhatikannya.
Penggali memakan kuasa CPU mangsa dan menyambung ke kolam perlombongan. Para penyelidik mengenal pasti nanopool dan kryptex sebagai antara kolam yang dihubungi.
Payload kedua adalah varian Gh0st RAT, trojan akses jauh yang memberikan pengendali luas kepada penyerang terhadap mesin yang terinfeksi.
Versi ini menyokong lebih daripada 30 arahan. Senarai tersebut merangkumi pengurusan fail, perekaman key, tangkapan skrin, akses desktop jauh, dan pencurian kredensial untuk QQ, sebuah platform perpesanan.
Kedua-dua beban dibina untuk kekal. Mereka menubuhkan kekalan melalui modifikasi registri dan tugas yang dijadualkan, jadi restart ringkas tidak akan mengusir mereka.
Infrastruktur dan soal atribusi
Tetapan command-and-control bergantung pada domain-termasuk server.vietnam852[.]com dan www.swordaa[.]com. Ini adalah pelayan yang menjadi sasaran malware untuk menerima arahan.
Pada masa penyelidik mula menyelidik, beberapa komponen sudah menjadi gelap.
Tiada bilangan mangsa yang telah disahkan. Penyebab juga masih kabur: satu-satunya petunjuk selain indikator teknikal ialah ciri-ciri bahasa Cina yang ditemui dalam perisian jahat.
FortiGuard Labs tidak mengaitkan kampanye ini dengan mana-mana pelaku tertentu.
Apakah maksud ini
Untuk organisasi yang menjalankan SQL Server, penyelesaian yang jelas ialah yang tidak menarik. Kredensial yang kuat dan unik menggagalkan kamus 2,700 kata laluan. Menjaga pangkalan data keluar dari internet awam mengeluarkannya daripada senarai pemindai sepenuhnya. Meninggalkan xp_cmdshell dalam keadaan dimatikan menutup jambatan dari pangkalan data ke sistem operasi.
Pembela juga mempunyai isyarat konkrit untuk dicari. Proses bernama MicrosoftEdgeUpdate.exe yang menghabiskan CPU pada pelayan pangkalan data patut diperiksa semula. Demikian juga tugas yang dijadualkan secara tidak dijangka, entri registri yang tidak biasa, dan sambungan keluar ke kolam perlombongan seperti nanopool atau kryptex.
Risiko yang lebih besar bagi mangsa bukanlah penambang. RAT yang merekam penekanan tombol, menangkap skrin, dan mencuri kredensial boleh mengubah satu pangkalan data yang disusupi menjadi titik masuk ke seluruh rangkaian.
Pasukan keselamatan yang membersihkan penambang tanpa mencari trojan mungkin mendapati penyerang tidak pernah benar-benar pergi.