Злоумышленники устанавливают майнер и Gh0st RAT на SQL Server

В начале октября 2026 года кампания была нацелена на доступные из интернета экземпляры Microsoft SQL Server. Для установки вредоносного ПО злоумышленники использовали открытые сервисы и слабые учётные данные. На скомпрометированные серверы устанавливали майнер Monero и вариант Gh0st RAT.

Упакованная с помощью UPX Go-нагрузка получает с удалённого сервера диапазоны целевых IP-адресов и проверяет TCP-порт 1433 сканером Naabu. Она помещает вспомогательные файлы в каталог %Temp% Windows и создаёт запланированную задачу с названием, имитирующим обновление Microsoft Edge. Задача запускает сканирующую нагрузку каждые 30 минут.

Если нагрузка обнаруживает открытый экземпляр SQL Server, запускается скрипт. Он использует исполняемый файл .NET для перебора учётных данных: применяет предоставленные имена пользователей и список паролей более чем из 2700 записей. После успешной аутентификации инструмент выполняет команды из файла 2018.sql с помощью T-SQL. Команды активируют функцию xp_cmdshell и загружают или извлекают загрузчик на скомпрометированный сервер.

Загрузчик получает дополнительные исполняемые файлы с FTP-сервера, сохраняет их в %Temp% и запускает. Среди доставляемого вредоносного ПО есть MicrosoftEdgeUpdate.exe, упакованный майнер Monero, который использует процессор сервера, и winlogon.exe, вариант Gh0st RAT. RAT поддерживает запись нажатий клавиш, кражу данных, управление файлами, удалённый доступ к командной строке, захват экрана и функции удалённого рабочего стола.

Для закрепления в системе используются ключ реестра HKLM Run, служба Windows и запланированная задача, которая запускается каждые 30 минут. Загрузчик также собирает системную информацию и передаёт её на бэкенд операторов. Указанный для загрузчика, встроенного в 2018.sql, хеш SHA-256: 58DB0CA2054ABE2989412D7A1C8ED16718577F893C196825C848FCD56C7E8F05.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.