ایک ہیکنگ مہم انٹرنیٹ کے سامنے موجود مائیکروسافٹ SQL سرور ڈیٹا بیسز میں گھس رہی ہے اور دو ناپسندیدہ کردار چھوڑ رہی ہے: ایک مونیرو مائنر اور ایک ریموٹ ایکسیس ٹروجن۔
فورٹیگارڈ لیبز نے 12 نومبر، 2026 کو اس آپریشن کا انکشاف کیا۔ حملہ آوروں کو کوئی چالاک زیرو-ڈے ایکسپلوٹ کی ضرورت نہیں تھی۔ انہیں زیادہ تر سرور مالکین کو خراب پاس ورڈز منتخب کرنے کی ضرورت تھی۔
تحقیق کرنے والوں کے مطابق، اس کیمپین کم از کم اکتوبر 2026 کے شروع سے فعال ہے۔ عوامی رپورٹنگ 12–13 نومبر، 2026 کو ہوئی۔
انٹری کیسے کام کرتی ہے
حملہ تحقیق کے ساتھ شروع ہوتا ہے۔ آپریٹرز ایک اسکینر Naabu استعمال کرتے ہیں، جو Go پروگرامنگ زبان میں لکھا گیا ہے، تاکہ انٹرنیٹ پر SQL Server کے اداروں کو تلاش کیا جا سکے جو باہر سے قابل رسائی ہوں۔
اگلے مرحلے میں بریوٹ فورس کا عمل آتا ہے۔ ایک .NET بنیادی ٹول 2,700 سے زیادہ عام پاس ورڈز کو سرکولیٹ کرتا ہے اور ہر ایک کو تجربہ کرتا ہے جب تک کہ لاگ ان کام نہ کر جائے۔
ایک بار اندر گھس جانے کے بعد، حملہ آور مضر T-SQL حکمات چلاتے ہیں۔ T-SQL وہ کوئری زبان ہے جسے SQL Server بولتا ہے، اور یہاں اس کا استعمال xp_cmdshell نامی ایک سہولت کو سکھانے کے لیے کیا جاتا ہے۔
یہ خصوصیت ڈیٹا بیس کو بنیادی آپریٹنگ سسٹم کو ب без تفصیل ہدایات بھیجنے کی اجازت دیتی ہے۔ جو ڈیٹا بیس ریکارڈز محفوظ کرنے کے لیے تھا، وہ اچانک پورے سرور پر انتظامی حکمات چلانے کا ایک اسٹارٹ پوائنٹ بن جاتا ہے۔
فورٹیگارڈ لیبز نے زور دیا کہ اس مہم کا اعتماد کمزور ایکاؤنٹ کریڈنشلز اور غلط ترتیبات پر ہے، مہنگی خامیوں پر نہیں۔
دو پیلود، دو کاروباری ماڈلز
پہلا پیلوز ایک کرپٹو کرنسی مائنر ہے جو XMRig پر تعمیر کیا گیا ہے اور مونیرو کو مائن کرتا ہے۔ یہ MicrosoftEdgeUpdate.exe نام کے تحت چلتا ہے، جو ایک ایسا فائل نام ہے جو اتنے بے رنگ لگتا ہے کہ کوئی انتظامیہ جو رن ہونے والے پروسیسز کو سکرول کر رہا ہو، شاید اس پر توجہ نہ دے۔
مائنر قربانی کی سی پی یو طاقت کھاتا ہے اور مائننگ پولز سے جُڑتا ہے۔ تحقیق کاروں نے اس پولز میں nanopool اور kryptex کی شناخت کی ہے۔
دوسرا پیلود Gh0st RAT کا ایک ویریئنٹ ہے، جو ایک ریموٹ ایکسیس ٹروجن ہے جو حملہ آور کو متاثرہ مشین پر وسیع کنٹرول فراہم کرتا ہے۔
یہ ورژن 30 سے زیادہ حکمات کی حمایت کرتا ہے۔ فہرست فائل مینجمنٹ، کی لوگنگ، اسکرین کیپچر، ریموٹ ڈیسکٹاپ ایکسیس، اور ایک میسجنگ پلیٹ فارم QQ کے لیے اعتماد کے تفصیلات چوری کو شامل کرتی ہے۔
دونوں پیلودز کو مستقل رکھنے کے لیے بنایا گیا ہے۔ وہ رجسٹری میں تبدیلیوں اور شیڈولڈ ٹاسکس کے ذریعے مستقلیت قائم کرتے ہیں، اس لیے ایک آسان ری بوٹ انہیں ختم نہیں کر سکتا۔
انفراسٹرکچر اور نسبت کا سوال
کمانڈ اینڈ کنٹرول سیٹ اپ میں server.vietnam852[.]com اور www.swordaa[.]com جیسے ڈومینز شامل تھے۔ یہ وہ سرورز ہیں جن کے لیے میلویئر ہدایات کے لیے واپس رابطہ کرتا ہے۔
جب محققین نے تحقیق شروع کی، تو کئی اجزاء پہلے ہی بند ہو چکے تھے۔
کوئی قربانیوں کی تعداد تصدیق نہیں ہوئی ہے۔ تAttribution بھی کمزور ہے: میلور کے اندر ملے چینی زبان کے خصوصیات کے علاوہ کوئی اور اشارہ نہیں ہے۔
فورٹیگارڈ لیبز نے اس مہم کو کسی خاص کردار سے جوڑا نہیں ہے۔
اس کا کیا مطلب ہے
ایسے اداروں کے لیے جو SQL Server چلا رہے ہیں، واضح اصلاحات ناپسندیدہ ہیں۔ مضبوط، منفرد ایکاؤنٹس 2,700 پاس ورڈ والے ڈکشنری کو شکست دیتے ہیں۔ ڈیٹا بیسز کو عوامی انٹرنیٹ سے الگ رکھنا انہیں اسکینر کی فہرست سے مکمل طور پر ختم کر دیتا ہے۔ xp_cmdshell کو غیر فعال رکھنا ڈیٹا بیس اور آپریٹنگ سسٹم کے درمیان پل کو بند کر دیتا ہے۔
دفاعی افراد کے پاس شکار کے لیے واضح اشارے بھی ہیں۔ ایک ڈیٹا بیس سرور پر MicrosoftEdgeUpdate.exe کے عمل کے ذریعے سی پی یو کا استعمال کرنا ایک بار پھر جانچ کا مطلوبہ ہے۔ اسی طرح غیر متوقع شیڈولڈ ٹاسکس، غیر معمولی رجسٹری اندراجات، اور مائننگ پول جیسے nanopool یا kryptex کے ساتھ آؤٹ باؤنڈ کنکشنز بھی۔
قربانیوں کے لیے بڑا خطرہ مائنر نہیں ہے۔ ایک RAT جو کی بورڈ کے کیز کو لاگ کرتا ہے، اسکرینز کو کیپچر کرتا ہے اور کریڈنشلز چوری کرتا ہے، ایک م compromised ڈیٹا بیس کو پورے نیٹ ورک میں ایک گھیرا بن سکتا ہے۔
مائنر کو صاف کرنے والی سیکورٹی ٹیمیں جو ٹروجن کی تلاش نہ کریں، وہ پا سکتی ہیں کہ حملہ آور کبھی واقعی نہیں گئے۔