Специалисты FortiGuard Labs обнаружили серию атак на базы данных Microsoft SQL Server, доступные из интернета. Кампания, зафиксированная с начала октября 2026 года, использует перебор слабых паролей.
Злоумышленники применяют сканер Naabu для поиска уязвимых серверов. Для получения доступа используется инструмент на базе .NET, который перебирает более 2700 стандартных комбинаций паролей.
После взлома атакующие активируют функцию xp_cmdshell, позволяющую выполнять системные команды ОС через SQL-запросы. Это дает возможность устанавливать вредоносное ПО и закрепляться в системе.
Первый компонент атаки — майнер Monero на базе XMRig, маскирующийся под процесс MicrosoftEdgeUpdate.exe. Он подключается к пулам nanopool и kryptex, используя вычислительные мощности серверов.
Второй компонент — троян Gh0st RAT, предоставляющий удаленный доступ. Он поддерживает более 30 команд, включая перехват нажатий клавиш, создание скриншотов и кражу учетных данных из мессенджера QQ.
Вредоносное ПО закрепляется в системе через реестр и планировщик задач. Исследователи отметили наличие признаков китайского языка в коде, однако точное число пострадавших серверов не установлено.
