Một chiến dịch tấn công đang xâm nhập vào các cơ sở dữ liệu Microsoft SQL Server có kết nối internet và để lại hai “người ở không mời” : một trình khai thác Monero và một trojan truy cập từ xa.
FortiGuard Labs đã tiết lộ hoạt động này vào ngày 12 tháng 11 năm 2026. Những kẻ tấn công không cần một khai thác zero-day tinh vi. Họ chủ yếu cần chủ server chọn mật khẩu yếu.
The campaign has been active since at least early October 2026, according to the researchers. Public reporting followed on November 12–13, 2026.
Cách thức vụ đột nhập hoạt động
Cuộc tấn công bắt đầu bằng việc trinh sát. Các tác nhân sử dụng Naabu, một công cụ quét được viết bằng ngôn ngữ lập trình Go, để quét internet tìm các phiên bản SQL Server có thể truy cập từ bên ngoài.
Tiếp theo là giai đoạn bạo lực. Một công cụ dựa trên .NET lặp qua hơn 2.700 mật khẩu phổ biến, thử từng mật khẩu cho đến khi đăng nhập thành công.
Sau khi xâm nhập, kẻ tấn công thực thi các lệnh T-SQL độc hại. T-SQL là ngôn ngữ truy vấn mà SQL Server sử dụng, và ở đây nó được dùng để kích hoạt một tính năng gọi là xp_cmdshell.
Tính năng đó cho phép cơ sở dữ liệu truyền trực tiếp các lệnh đến hệ điều hành nền tảng. Một cơ sở dữ liệu vốn được thiết kế để lưu trữ bản ghi đột nhiên trở thành nền tảng để thực thi các lệnh quản trị trên toàn bộ máy chủ.
FortiGuard Labs nhấn mạnh rằng chiến dịch này dựa vào thông tin xác thực yếu và cấu hình sai lệch thay vì các lỗ hổng phức tạp.
Hai tải trọng, hai mô hình kinh doanh
Tải trọng đầu tiên là một phần mềm khai thác tiền điện tử được xây dựng trên XMRig, khai thác Monero. Nó chạy dưới tên MicrosoftEdgeUpdate.exe, một tên tệp được chọn để trông thật nhàm chán, khiến quản trị viên lướt qua các quá trình đang chạy có thể không để ý.
Thợ đào sử dụng sức mạnh CPU của nạn nhân và kết nối đến các nhóm đào. Các nhà nghiên cứu đã xác định nanopool và kryptex trong số các nhóm mà nó liên lạc.
Tải trọng thứ hai là một biến thể của Gh0st RAT, một phần mềm độc hại cho phép truy cập từ xa, cấp cho kẻ tấn công quyền kiểm soát rộng rãi trên máy bị nhiễm.
Phiên bản này hỗ trợ hơn 30 lệnh. Danh sách bao gồm quản lý tệp, ghi phím, chụp màn hình, truy cập máy tính từ xa và đánh cắp thông tin đăng nhập cho QQ, một nền tảng nhắn tin.
Cả hai tải trọng đều được thiết kế để tồn tại lâu dài. Chúng thiết lập tính bền vững thông qua việc sửa đổi registry và các tác vụ lên lịch, vì vậy một lần khởi động lại đơn giản sẽ không xóa chúng đi.
Cơ sở hạ tầng và câu hỏi về sự gán nhãn
Việc thiết lập điều khiển và quản lý dựa trên các miền bao gồm server.vietnam852[.]com và www.swordaa[.]com. Đây là các máy chủ mà phần mềm độc hại liên lạc về để nhận lệnh.
Khi các nhà nghiên cứu bắt tay vào tìm hiểu, một số thành phần đã ngừng hoạt động.
Chưa có con số xác nhận về số nạn nhân. Việc xác định tác nhân cũng vẫn còn mờ nhạt: chỉ có các đặc điểm ngôn ngữ Trung Quốc được tìm thấy trong phần mềm độc hại là manh mối duy nhất.
FortiGuard Labs chưa liên kết chiến dịch này với bất kỳ tác nhân cụ thể nào.
Điều này có nghĩa là
Đối với các tổ chức đang chạy SQL Server, các giải pháp rõ ràng nhất là những giải pháp không nổi bật. Thông tin xác thực mạnh và duy nhất có thể ngăn chặn từ điển 2.700 mật khẩu. Việc giữ cơ sở dữ liệu ngoài internet công cộng sẽ loại bỏ chúng hoàn toàn khỏi danh sách quét. Để xp_cmdshell bị vô hiệu hóa sẽ đóng cửa cầu nối từ cơ sở dữ liệu sang hệ điều hành.
Các bên phòng thủ cũng có những tín hiệu cụ thể để tìm kiếm. Một quy trình có tên MicrosoftEdgeUpdate.exe tiêu tốn CPU trên máy chủ cơ sở dữ liệu đáng được xem xét lại. Những tác vụ lên lịch bất ngờ, các mục đăng ký bất thường và các kết nối ra ngoài đến các nhóm đào như nanopool hoặc kryptex cũng vậy.
Rủi ro lớn hơn đối với nạn nhân không phải là thợ khai thác. Một RAT ghi lại phím nhấn, chụp màn hình và đánh cắp thông tin đăng nhập có thể biến một cơ sở dữ liệu bị xâm phạm thành điểm tựa để lan rộng khắp toàn bộ mạng lưới.
Các đội bảo mật dọn dẹp trình khai thác mà không tìm kiếm trojan có thể phát hiện ra rằng kẻ tấn công thực chất chưa bao giờ rời đi.