Хакерська кампанія проникає в інтернет-доступні бази даних Microsoft SQL Server і залишає за собою двох небажаних мешканців: майнер Monero та троян з віддаленим доступом.
FortiGuard Labs розкрила операцію 12 листопада 2026 року. Зловмисникам не знадобилося жодного складного експлойту нульового дня. Їм потрібно було лише, щоб власники серверів обирали погані паролі.
Кампанія була активна щонайменше з початку жовтня 2026 року, за даними дослідників. Публічне повідомлення відбулося 12–13 листопада 2026 року.
Як працює втручання
Атака починається з розвідки. Оператори використовують Naabu — сканер, написаний на мові програмування Go, щоб оглядати інтернет у пошуку екземплярів SQL Server, до яких можна отримати доступ ззовні.
Далі настає етап підбору. Інструмент на базі .NET перебирає більше ніж 2 700 поширених паролів, намагаючись кожен з них, поки не вдасться увійти.
Після входу зловмисники виконують шкідливі команди T-SQL. T-SQL — це мова запитів, якою користується SQL Server, і саме вона використовується для включення функції під назвою xp_cmdshell.
Ця функція дозволяє базі даних передавати інструкції безпосередньо оперативній системі. База даних, яка мала зберігати записи, раптово перетворюється на платформу для виконання адміністративних команд на всьому сервері.
FortiGuard Labs підкреслили, що кампанія опирається на слабкі облікові дані та неправильні налаштування, а не на складні вразливості.
Два завантаження, дві бізнес-моделі
Перший завантаження — це криптовалютний майнер, побудований на базі XMRig, який видобуває Monero. Він працює під ім’ям MicrosoftEdgeUpdate.exe — назва, обрана так, щоб виглядати достатньо непримітно, щоб адміністратор, який прокручує список запущених процесів, не звернув на неї уваги.
Майнер використовує потужність ЦП жертви та підключається до майнінгових пулів. Дослідники виявили nanopool та kryptex серед пулів, з якими він взаємодіє.
Другий завантаження — це варіант Gh0st RAT, трояна віддаленого доступу, який надає атакувачеві широкий контроль над зараженим пристроєм.
Ця версія підтримує більше 30 команд. Список охоплює управління файлами, кейлоггінг, захоплення екрана, доступ до віддаленого робочого стола та крадіжку облікових даних для QQ — платформи для обміну повідомленнями.
Обидва завантаження створені для того, щоб залишитися. Вони забезпечують стійкість шляхом змін реєстру та запланованих завдань, тому просте перезавантаження не видалить їх.
Інфраструктура та питання приписування
Командно-керована конфігурація використовувала домени, включаючи server.vietnam852[.]com та www.swordaa[.]com. Це сервери, до яких шкідливе ПЗ зв’язується для отримання інструкцій.
На момент, коли дослідники почали розслідування, кілька компонентів вже вимкнулися.
Кількість жертв не підтверджена. Також залишається слабкою атрибуція: єдиним вказівником, крім технічних індикаторів, є ознаки китайської мови, знайдені у шкідливому програмному забезпеченні.
FortiGuard Labs не пов’язувала цю кампанію з жодним конкретним суб’єктом.
Що це означає
Для організацій, які використовують SQL Server, очевидні виправлення — це непримітні. Сильні, унікальні облікові дані зламують словник із 2 700 паролів. Виведення баз даних з публічного інтернету повністю видаляє їх із списку сканерів. Залишення xp_cmdshell вимкненим закриває міст між базою даних та операційною системою.
У захисників також є конкретні сигнали, які варто виявляти. Процес MicrosoftEdgeUpdate.exe, який інтенсивно використовує ЦП на сервері баз даних, варто переглянути знову. Так само й неочікувані заплановані завдання, незвичайні записи реєстру та вихідні з’єднання до майнінгових пулів, таких як nanopool або kryptex.
Більший ризик для жертв — не майнер. RAT, який записує натискання клавіш, захоплює екрани та краде облікові дані, може перетворити один скомпрометований базу даних на точку входу в усю мережу.
Команди безпеки, які прибирають майнер, не шукаючи трояна, можуть виявити, що нападники справді ніколи не відійшли.