Кампания взломов проникает в интернет-доступные базы данных Microsoft SQL Server и оставляет после себя двух нежелательных жильцов: майнер Monero и троян удалённого доступа.
FortiGuard Labs раскрыла операцию 12 ноября 2026 года. Злоумышленникам не требовалось сложное эксплуатирование нулевого дня. Им в основном требовалось, чтобы владельцы серверов выбирали слабые пароли.
Согласно исследователям, кампания активна по крайней мере с начала октября 2026 года. Публичные сообщения последовали 12–13 ноября 2026 года.
Как работает взлом
Атака начинается с разведки. Операторы используют Naabu — сканер, написанный на языке программирования Go, чтобы просканировать интернет и найти экземпляры SQL Server, доступные извне.
Далее следует этап перебора. Инструмент на базе .NET перебирает более 2700 распространённых паролей, пробуя каждый, пока не удастся войти в систему.
Попав внутрь, злоумышленники выполняют вредоносные команды T-SQL. T-SQL — это язык запросов, который использует SQL Server, и здесь он применяется для включения функции под названием xp_cmdshell.
Эта функция позволяет базе данных передавать инструкции непосредственно операционной системе. База данных, предназначенная для хранения записей, внезапно превращается в платформу для выполнения административных команд на всем сервере.
FortiGuard Labs подчеркнули, что кампания опирается на слабые учетные данные и неправильные настройки, а не на сложные уязвимости.
Два полезных нагрузки, две бизнес-модели
Первая нагрузка — это криптовалютный майнер, построенный на основе XMRig, который добывает Monero. Он запускается под именем MicrosoftEdgeUpdate.exe — имя, выбранное так, чтобы выглядеть достаточно скучно, чтобы администратор, просматривающий запущенные процессы, не обратил на него внимания.
Майнер использует вычислительные ресурсы жертвы и подключается к майнинг пулам. Исследователи выявили nanopool и kryptex среди пуллов, с которыми он взаимодействует.
Вторая нагрузка является вариантом Gh0st RAT — удаленного трояна, предоставляющего злоумышленнику широкий контроль над зараженным устройством.
Эта версия поддерживает более 30 команд. Список включает управление файлами, кейлоггинг, захват экрана, удаленный доступ к рабочему столу и кражу учетных данных для QQ — платформы для обмена сообщениями.
Оба полезных груза предназначены для долгосрочного пребывания. Они обеспечивают устойчивость за счет изменения реестра и создания запланированных задач, поэтому простая перезагрузка не удалит их.
Инфраструктура и вопрос атрибуции
Командно-управляющая инфраструктура использовала домены, включая server.vietnam852[.]com и www.swordaa[.]com. Это серверы, на которые вредоносная программа отправляет запросы для получения инструкций.
К тому времени, когда исследователи начали изучение, несколько компонентов уже перестали работать.
Количество жертв не подтверждено. Также остаётся слабой информация об авторстве: единственные указания, помимо технических признаков, — это черты, характерные для китайского языка, обнаруженные в вредоносном программном обеспечении.
FortiGuard Labs не связала эту кампанию с каким-либо конкретным участником.
Что это значит
Для организаций, использующих SQL Server, очевидные решения — это непримечательные меры. Сильные и уникальные учетные данные позволяют противостоять словарю из 2700 паролей. Перемещение баз данных за пределы публичного интернета исключает их из списка сканирования. Отключение xp_cmdshell закрывает мост между базой данных и операционной системой.
У защитников также есть конкретные признаки, на которые стоит обратить внимание. Процесс MicrosoftEdgeUpdate.exe, интенсивно использующий ЦП на сервере базы данных, заслуживает дополнительного внимания. То же самое относится к неожиданным запланированным задачам, необычным записям реестра и исходящим подключениям к майнинг пулам, таким как nanopool или kryptex.
Больший риск для жертв — не майнер. RAT, который регистрирует нажатия клавиш, захватывает экраны и крадет учетные данные, может превратить один скомпрометированный базу данных в точку опоры для всей сети.
Команды безопасности, которые устраняют майнер, не ища троян, могут обнаружить, что злоумышленники действительно никогда не уходили.