Uma campanha de hacking está invadindo bancos de dados Microsoft SQL Server expostos à internet e deixando para trás dois inquilinos indesejados: um minerador de Monero e um trojan de acesso remoto.
O FortiGuard Labs divulgou a operação em 12 de novembro de 2026. Os atacantes não precisavam de uma exploração zero-day engenhosa. Eles principalmente precisavam que os proprietários dos servidores escolhessem senhas fracas.
A campanha está ativa desde pelo menos início de outubro de 2026, segundo os pesquisadores. A divulgação pública ocorreu em 12 a 13 de novembro de 2026.
Como o invasão funciona
O ataque começa com reconhecimento. Os operadores usam o Naabu, um scanner escrito na linguagem de programação Go, para varrer a internet em busca de instâncias do SQL Server que sejam acessíveis de fora.
Em seguida, vem a fase de força bruta. Uma ferramenta baseada em .NET percorre mais de 2.700 senhas comuns, tentando cada uma até que o login funcione.
Uma vez dentro, os atacantes executam comandos T-SQL maliciosos. O T-SQL é a linguagem de consulta que o SQL Server utiliza, e aqui é usado para ativar um recurso chamado xp_cmdshell.
Essa funcionalidade permite que o banco de dados passe instruções diretamente para o sistema operacional subjacente. Um banco de dados que deveria armazenar registros de repente se torna uma plataforma para executar comandos administrativos em todo o servidor.
FortiGuard Labs enfatizou que a campanha se baseia em credenciais fracas e má configurações, em vez de vulnerabilidades sofisticadas.
Dois payloads, dois modelos de negócio
A primeira carga é um minerador de criptomoeda construído no XMRig, minerando Monero. Ele é executado sob o nome MicrosoftEdgeUpdate.exe, um nome escolhido para parecer suficientemente chato para que um administrador percorrendo os processos em execução não preste atenção.
O minerador consome a potência da CPU da vítima e se conecta a pools de mineração. Pesquisadores identificaram nanopool e kryptex entre os pools aos quais ele se comunica.
A segunda carga é uma variante do Gh0st RAT, um trojan de acesso remoto que concede ao atacante amplo controle sobre a máquina infectada.
Esta versão suporta mais de 30 comandos. A lista abrange gerenciamento de arquivos, keylogging, captura de tela, acesso à área de trabalho remota e roubo de credenciais para o QQ, uma plataforma de mensagens.
Ambas as cargas úteis foram projetadas para permanecer. Elas estabelecem persistência por meio de modificações no registro e tarefas agendadas, então um simples reinício não as removerá.
A infraestrutura e a questão de atribuição
A configuração de comando e controle dependia de domínios incluindo server.vietnam852[.]com e www.swordaa[.]com. Esses são os servidores aos quais o malware se conecta para receber instruções.
Quando os pesquisadores começaram a investigar, vários componentes já haviam sido desativados.
Nenhum número de vítimas foi confirmado. A atribuição também permanece fraca: o único indício além dos indicadores técnicos são características em chinês encontradas no malware.
O FortiGuard Labs não vinculou a campanha a nenhum ator específico.
O que isso significa
Para organizações que executam o SQL Server, as soluções mais óbvias são as menos glamorosas. Credenciais fortes e únicas derrotam um dicionário de 2.700 senhas. Manter os bancos de dados fora da internet pública os remove completamente da lista do scanner. Deixar o xp_cmdshell desativado fecha a ponte entre o banco de dados e o sistema operacional.
Os defensores também têm sinais concretos para procurar. Um processo chamado MicrosoftEdgeUpdate.exe consumindo CPU em um servidor de banco de dados merece uma segunda olhada. Assim como tarefas agendadas inesperadas, entradas de registro incomuns e conexões de saída para pools de mineração como nanopool ou kryptex.
O maior risco para as vítimas não é o minerador. Um RAT que registra teclas, captura telas e rouba credenciais pode transformar um único banco de dados comprometido em uma ponte de acesso para toda uma rede.
Equipes de segurança que limpam o minerador sem procurar pelo trojan podem descobrir que os atacantes nunca realmente saíram.