یک کمپین سایبری گسترده در حال هدف قرار دادن نمونه‌های Microsoft SQL Server است که به دلیل داشتن رمزهای عبور ضعیف و دسترسی مستقیم به اینترنت، در معرض خطر قرار دارند. هدف نهایی این حملات، نصب یک بدافزار استخراج رمزارز Monero و یک تروجان دسترسی از راه دور (Remote Access Trojan یا RAT) از خانواده Gh0st است.
مراحل شناسایی و نفوذ
در مرحله نخست، عامل تهدید از یک Payload توسعه‌یافته با زبان Go استفاده می‌کند که شامل اسکنر پورت متن‌باز Naabu است. این ابزار با دریافت محدوده‌های IP از سرور مهاجم، پورت TCP 1433 (پورت پیش‌فرض SQL Server) را اسکن کرده و میزبان‌های پاسخ‌دهنده را شناسایی می‌کند.
پس از شناسایی اهداف، یک ابزار Brute-force وارد عمل شده و نام‌های کاربری رایجی مانند sa و admin را با بیش از ۲۷۰۰ رمز عبور مختلف تست می‌کند تا دسترسی را به دست آورد.
اجرا و تثبیت در سیستم
پس از ورود موفقیت‌آمیز، بدافزار دستورات Transact-SQL (T-SQL) را روی سرور اجرا می‌کند. این دستورات با فعال‌سازی قابلیت xp_cmdshell (که اجازه اجرای دستورات سیستم‌عامل را می‌دهد)، یک Loader را دانلود یا استخراج کرده و آن را برای اجرا در پوشه Startup و همچنین در Task Scheduler سیستم ثبت می‌کند تا با هر بار بوت شدن سرور، بدافزار مجدداً اجرا شود.
این Loader سپس بدافزارهای تکمیلی را از یک سرور FTP دریافت کرده و اطلاعاتی شامل IP عمومی، کشور، نسخه ویندوز، جزئیات پردازنده و حافظه، زمان نصب ویندوز و نام کاربر را به سرور فرماندهی (C2) مهاجم ارسال می‌کند.
تحلیل بدافزارهای نصب شده
- استخراج‌کننده رمزارز: یک Cryptominer مبتنی بر XMRig برای استخراج Monero روی سرور نصب می‌شود. برای پنهان ماندن، این بدافزار نام خود و تسک‌های زمان‌بندی‌شده‌اش را مشابه به‌روزرسانی‌های Microsoft Edge انتخاب می‌کند.
- تروجان Gh0st RAT: نسخه جدیدی از Gh0st RAT که نام خود را مشابه پردازش‌های سیستمی ویندوز قرار داده است، روی سرور مستقر می‌شود. این RAT قابلیت‌های گسترده‌ای از جمله Keylogging، سرقت داده‌ها، ثبت تصویر صفحه (Screen Capture)، کنترل از راه دور دسکتاپ و پاک‌سازی Logهای سیستم را دارد. همچنین این بدافزار قادر است نام ۷۸ محصول امنیتی مختلف را بررسی کرده و در صورت وجود، اقدامات متناظر را انجام دهد.
برای حفظ دسترسی (Persistence)، این تروجان از کلیدهای Run در Registry، ایجاد سرویس‌های ویندوزی و تسک‌های زمان‌بندی‌شده با بازه ۳۰ دقیقه‌ای استفاده می‌کند.
