Активная кампания угроз сочетает сканирование портов, подбор паролей и команды Transact-SQL (T-SQL) для компрометации открытых серверов Microsoft SQL и доставки вредоносного ПО.
Злоумышленники используют предопределенные списки имен пользователей и паролей для брутфорса этих серверов и эксплуатации их административных возможностей для выполнения команд в базовых системах Windows.
Эта активность подчеркивает постоянную проблему обеспечения безопасного привилегированного доступа в сложных и часто устаревших инфраструктурах, отметил Шейн Барни, главный специалист по информационной безопасности в Keeper Security. «Хотя базы данных, доступные из Интернета, иногда являются непреднамеренным результатом технического долга или неправильной конфигурации, именно использование статических, постоянных учетных данных превращает эту уязвимость в критическую», — сказал он. «Когда административные логины можно подобрать брутфорсом, злоумышленники получают немедленный, бесконтрольный доступ для развертывания вредоносного ПО без необходимости использования какого-либо сложного эксплойта».
Кампания доставляет два различных полезных нагрузки: майнер криптовалюты Monero на базе XMRig, который использует вычислительные ресурсы скомпрометированных серверов, и вариант трояна удаленного доступа Gh0st (RAT), который предоставляет злоумышленникам удаленный доступ и такие возможности, как кейлоггинг и кража данных.
Microsoft не ответила немедленно на запрос о комментарии.
Брутфорс логинов SQL для получения команд Windows
Кампания начинается с полезной нагрузки на языке Go под названием «dllhost.exe», которая запускает сканер портов Naabu с открытым исходным кодом, сообщил исследователь FortiGuard Сяопен Чжан в уведомлении, переданном CSO до его публикации в четверг.
Полезная нагрузка извлекает целевые диапазоны IP-адресов с сервера, контролируемого злоумышленником, преобразует их в CIDR-диапазоны и сканирует случайно сгенерированные адреса на наличие систем с открытым TCP-портом 1433. Это порт по умолчанию, используемый Microsoft SQL Server.
После идентификации доступных серверов вредоносное ПО записывает их IP-адреса и запускает атаку методом перебора с использованием отдельного исполняемого файла под названием «dwn.exe». Инструмент пытается аутентифицироваться с именами пользователей, такими как «sa» и «admin», а также с предопределенным списком паролей, содержащим более 2700 записей.
Успешные входы дают злоумышленникам больше, чем просто доступ к базе данных, сказал Чжан. Вредоносное ПО выполняет серию вредоносных команд T-SQL, содержащихся в файле 2018.sql, используя административные функции SQL Server для запуска команд в скомпрометированной машине Windows.
Среди прочего, команды включают xp_cmdshell — функцию SQL Server, которая позволяет администраторам баз данных выполнять операции командной строки Windows. Затем злоумышленники используют ее для загрузки или извлечения исполняемых файлов в каталог «C:\Users\Public» сервера и их запуска.
Джейсон Сороко, старший научный сотрудник Sectigo, заявил, что кампания эффективно превращает вход в базу данных в способ выполнения вредоносного ПО на сервере. «Организации должны удалить прямой доступ к SQL Server из Интернета, ограничить подключения к одобренным системам и обеспечить надежные, уникальные учетные данные», — сказал он. «Административный доступ должен быть ограничен учетными записями, которым он действительно нужен».
Сороко также рекомендовал отключать xp_cmdshell, если он не требуется, и отслеживать попытки его включения.
Майнер криптовалют и Gh0st RAT в комплекте
Вредоносные команды T-SQL развертывают загрузчик, который извлекает дополнительные исполняемые файлы из инфраструктуры FTP злоумышленников, включая майнер криптовалюты Monero и вариант Gh0st RAT.
FortiGuard обнаружил полезную нагрузку MicrosoftEdgeUpdate.exe, которая маскировалась под легитимное обновление браузера, но на самом деле оказалась майнером криптовалют на базе XMRig. Он использует ресурсы ЦП скомпрометированного сервера для майнинга Monero и обменивается данными с пулами майнинга, используя адрес кошелька, встроенный в его конфигурацию.
Вариант Gh0st RAT доставлялся через «Winlogon.exe». Исследователи выявили функционал для кейлоггинга, управления файлами, кражи данных, удаленного выполнения команд и управления процессами, наряду с более чем 30 командами управления. Его возможности также включают захват экрана и удаленный доступ к рабочему столу через плагины.
Атака использовала несколько механизмов сохранения для поддержания доступа. Первоначальная полезная нагрузка создает запланированную задачу, выполняемую каждые 30 минут, в то время как загрузчик устанавливает другую задачу для повторного выполнения ежедневно в 1 час ночи. Gh0st RAT, тем временем, добавляет себя в ключ запуска реестра Windows, устанавливает службу Windows и создает запланированную задачу, которая запускает его каждые 30 минут.
Барни сказал, что майнеры криптовалют могут служить отвлекающим маневром от более серьезных последствий вторжения. Злоумышленники, отметил он, могут использовать майнинговую активность как «дымовую завесу для установления долгосрочного присутствия с помощью инструментов удаленного доступа». FortiGuard заявил, что обеспечивает покрытие обнаружения для кампании через свои службы FortiGuard IPS, Web Filtering и Antivirus. Для тех, кто не является их клиентами, компания предоставила список индикаторов компрометации (IoC) для выявления потенциальных заражений.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
