Bir siber saldırı kampanyası, internete açık Microsoft SQL Server veritabanlarına girişi sağlıyor ve geride iki istenmeyen konuk bırakıyor: bir Monero madenci ve bir uzaktan erişim trojanı.
FortiGuard Labs, 12 Kasım 2026 tarihinde bu faaliyeti açıkladı. Saldırganlar akıllıca bir sıfır-günlük zafiyetine gerek duymadı. Çoğunlukla sunucu sahiplerinin kötü şifreler seçmesi yeterliydi.
Araştırmacılar göre kampanya en azından 2026 yılının başlarında aktif hale gelmişti. Kamuya duyurulma 12–13 Kasım 2026 tarihlerinde gerçekleşti.
Kırmanın nasıl çalıştığını
Saldırı, istihbarat toplama ile başlar. Operatörler, dışarıdan erişilebilir SQL Server örneklerini taramak için Go programlama dilinde yazılmış bir tarayıcı olan Naabu'yu kullanır.
Sonra kaba kuvvet aşaması gelir. .NET tabanlı bir araç, 2.700'den fazla yaygın şifreyi döngüye alır ve bir oturum açma başarılı olana kadar her birini denemeye devam eder.
İçeri girdikten sonra, saldırganlar zararlı T-SQL komutlarını çalıştırır. T-SQL, SQL Server'ın konuştuğu sorgu dili olup, burada xp_cmdshell adlı bir özellik etkinleştirilmek için kullanılır.
Bu özellik, veritabanının doğrudan temel işletim sistemine talimat göndermesini sağlar. Kayıtları depolamak için tasarlanmış bir veritabanı, tüm sunucuda yönetici komutları çalıştırmak için bir fırlatma platformu haline gelir.
FortiGuard Labs, kampanyanın karmaşık açıklar yerine zayıf kimlik bilgileri ve yanlış yapılandırmalara dayandığını vurguladı.
İki yük, iki iş modeli
İlk yük, Monero madenleme yapmak için XMRig üzerinde inşa edilmiş bir kripto para madenciidir. MicrosoftEdgeUpdate.exe adıyla çalışır; bu dosya adı, bir yönetici çalışan süreçleri tararken dikkat çekmeyecek kadar sıkıcı olacak şekilde seçilmiştir.
Madenci, kurbanın CPU gücünü tüketir ve madencilik havuzlarına bağlanır. Araştırmacılar, iletişim kurduğu havuzlar arasında nanopool ve kryptex'i belirledi.
İkinci yüklemesi, enfekte edilen makine üzerinde geniş kontrole sahip olan Gh0st RAT adlı bir uzaktan erişim trojanının bir varyantıdır.
Bu sürüm 30'dan fazla komutu destekler. Liste, dosya yönetimi, tuş kaydı, ekran görüntüsü alma, uzak masaüstü erişimi ve bir mesajlaşma platformu olan QQ için kimlik bilgilerinin çalınmasını kapsar.
İki yük de kalıcı olacak şekilde oluşturulmuştur. Kayıt defteri değişiklikleri ve planlı görevler aracılığıyla kalıcılık sağlarlar, bu nedenle basit bir yeniden başlatma onları kaldırmaz.
Altyapı ve atıf sorusu
Komut ve kontrol kurulumu, server.vietnam852[.]com ve www.swordaa[.]com gibi alan adlarını kullanıyordu. Bu sunucular, kötü amaçlı yazılımın talimatlar için bağlantı kurduğu sunuculardır.
Araştırmacılar incelemeye başladığında, birkaç bileşen zaten kapanmıştı.
Hiçbir kurban sayısı doğrulanmamıştır. Atıf da zayıf kalıyor: teknik göstergelerin ötesinde tek işaret, kötü amaçlı yazılımda bulunan Çince dil özellikleridir.
FortiGuard Labs, kampanyayı herhangi bir aktörle ilişkilendirmemiştir.
Bu ne anlama geliyor
SQL Server çalıştıran kuruluşlar için açık çözümler, görkemli olmayan çözümlerdir. Güçlü ve benzersiz kimlik bilgileri, 2.700 parolalı bir sözlüğü geçersiz kılar. Veritabanlarını kamu internetinden uzak tutmak, onları tarayıcının listesinden tamamen kaldırır. xp_cmdshell'in devre dışı bırakılması, veritabanı ile işletim sistemi arasındaki köprüyü kapatır.
Savunmacılar ayrıca aranacak somut sinyallere de sahiptir. Bir veritabanı sunucusunda MicrosoftEdgeUpdate.exe sürecinin CPU kullanımını artırmak ikinci bir göz atmayı gerektirir. Beklenmeyen planlı görevler, sıra dışı kayıt defteri girdileri ve nanopool veya kryptex gibi madencilik havuzlarına yönelik dış bağlantılar da dikkat çekicidir.
Mağdurlar için daha büyük risk, madenci değil. Tuş girdilerini kaydeden, ekranları yakalayan ve kimlik bilgilerini çalan bir RAT, tek bir zararlı veritabanını tüm bir ağda bir köprü noktası haline getirebilir.
Kömürsüz olarak trojanı aramadan miner temizleyen güvenlik ekibinin, saldırganların asla gerçekten ayrılmadığını görebilir.