Angreifer knacken exponierte SQL-Server per Brute-Force, um Monero-Miner und Gh0st RAT zu installieren
FortiGuard Labs hat am 12. November 2026 eine Kampagne offengelegt, bei der über das Internet erreichbare Microsoft SQL Server mit schwachen Zugangsdaten gekapert und ein Monero-Miner sowie eine Gh0st-RAT-Variante installiert werden. Laut Forschern begannen die Angriffe Anfang Oktober 2026; eine bestätigte Opferzahl oder eine Zuordnung zu einem bestimmten Akteur liegt nicht vor.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Was FortiGuard herausgefunden hat
FortiGuard Labs hat am 12. November 2026 eine Kampagne offengelegt, die über das Internet erreichbare Microsoft-SQL-Server-Datenbanken kompromittiert und zwei Payloads installiert: einen auf XMRig basierenden Monero-Miner und eine Gh0st-RAT-Variante. Das Unternehmen erklärt, die Aktivität laufe seit mindestens Anfang Oktober 2026. Die Operation stützt sich auf schwache Zugangsdaten und Fehlkonfigurationen statt auf eine Software-Schwachstelle.
Die Angreifer scannen zunächst nach erreichbaren SQL-Server-Instanzen mit Naabu, einem in Go geschriebenen Scanner. Anschließend durchläuft ein .NET-Tool eine Liste von mehr als 2.700 gängigen Passwörtern, kombiniert mit Benutzernamen wie "sa" und "admin". Forscher Xiaopeng Zhang betont im Bericht von FortiGuard, dass die Passwortliste der Kern des Eindringens sei.
Wie aus Zugang Kontrolle wird
Nach dem Login führen die Angreifer T-SQL-Befehle aus, die xp_cmdshell aktivieren, eine Funktion, mit der SQL Server Befehle direkt an das Betriebssystem weitergibt. Ein Downloader holt dann Miner und RAT von einem vom Angreifer kontrollierten Server. Microsofts Dokumentation besagt, dass xp_cmdshell bei Neuinstallationen standardmäßig deaktiviert ist, und empfiehlt, die Funktion ausgeschaltet zu lassen, außer während eine bestimmte Aufgabe sie erfordert.
Microsoft erklärt außerdem, Befehle über diese Funktion erbten die Berechtigungen des Dienstkontos von SQL Server, und ein Nicht-Administrator benötige ein konfiguriertes Proxy-Credential, damit der Vorgang gelingt. Das Unternehmen warnt, dass das Aktivieren oder Nutzen der Funktion Sicherheitsauditwerkzeuge auslösen kann. In dieser Kampagne ist der Aktivierungsschritt der Punkt, an dem aus einem Datenbank-Login ein Zugriff auf Host-Ebene wird.
Payloads und Persistenz
Der Miner läuft unter dem Dateinamen MicrosoftEdgeUpdate.exe und nutzt die CPU des Hosts, um Monero zu schürfen. Seine Konfiguration enthält eine Wallet-Adresse und drei Mining-Pool-Adressen. Frühere, von FortiGuard zitierte Telemetriedaten, wie Crypto Briefing berichtete, nannten nanopool und kryptex unter den Pools, die er kontaktiert; Crypto.news berichtete, die Konfiguration enthalte drei Pool-Adressen, ohne sie zu nennen.
Die zweite Payload, winlogon.exe, ist eine Gh0st-RAT-Variante. Crypto Briefing beschreibt mehr als 30 unterstützte Befehle für Dateiverwaltung, Keylogging, Bildschirmaufnahme, Remote Desktop und den Diebstahl von QQ-Messaging-Zugangsdaten. Crypto.news berichtet, dass die analysierte Probe Keylogging, Dateiverwaltung und Fernbefehle unterstützt und dass Bildschirmaufnahme und Remote-Desktop-Funktionen als Plugins ausgeliefert werden, die in der Probe nicht vorhanden waren. Die beiden Berichte widersprechen sich also darin, wie viele Fähigkeiten des RAT im analysierten Build tatsächlich enthalten waren. Beide stimmen jedoch darin überein, dass der RAT für die umfassende Kontrolle des infizierten Rechners ausgelegt ist.
Beide Payloads bleiben über Registry-Einträge und geplante Aufgaben bestehen. Crypto.news ergänzt einen Windows-Dienst und gibt an, dass die geplante Aufgabe des RAT alle 30 Minuten läuft. Als Command-and-Control-Domains werden in der Berichterstattung server.vietnam852[.]com und www.swordaa[.]com genannt. Crypto.news weist darauf hin, dass die Befehlsinfrastruktur des RAT bereits vor der Analyse abgeschaltet war, sodass die Forscher die Probe ohne aktiven Server untersuchten.
Umfang und Zuordnung
Keiner der beiden Berichte bestätigt eine Opferzahl. FortiGuard hat die Kampagne keinem bestimmten Akteur zugeordnet; abgesehen von technischen Indikatoren gibt es nur einen Hinweis in Form chinesischsprachiger Merkmale in der Schadsoftware. Crypto.news bestätigt unter Berufung auf dieselbe Forschung, dass auch dort keine Angreifer identifiziert werden.
Die Kampagne passt in ein breiteres Muster von Cryptojacking und RAT-Installationen gegen exponierte Dienste. Crypto.news hatte zuvor über die Dokumentation von AhnLab zu Angriffen auf den Rejetto HTTP File Server aus dem Jahr 2024 berichtet, bei denen Monero-Miner und Gh0stRAT zum Einsatz kamen, sowie über eine Warnung des niederländischen NCSC vom August, die Monero-Miner-Installationen über einen aus dem Internet erreichbaren macOS-Screen-Sharing-Port beschreibt.
Defensive Maßnahmen
Die in der Berichterstattung genannten Gegenmaßnahmen sind konventionell. Starke, einzigartige Passwörter machen ein Wörterbuch dieser Größe wirkungslos. Datenbank-Ports vom öffentlichen Internet fernzuhalten entfernt sie aus der Zielliste des Scanners. Wenn xp_cmdshell deaktiviert bleibt, wie Microsoft empfiehlt, wird der Schritt von der Datenbank zum Betriebssystem blockiert, den beide Berichte als zentral identifizieren.
Verteidiger können auf einem Datenbankserver nach MicrosoftEdgeUpdate.exe suchen, das CPU-Last verursacht, nach unerwarteten geplanten Aufgaben und Registry-Einträgen, nach einem Windows-Dienst mit ungewöhnlichem Zweck und nach ausgehenden Verbindungen zu Mining-Pools. Die Einschätzung von Crypto Briefing lautet, dass der RAT und nicht der Miner das größere Risiko darstellt, weil er Zugangsdaten und Tastatureingaben abgreifen und als Ausgangspunkt für das weitere Netzwerk dienen kann. Das alleinige Entfernen des Miners kann dazu führen, dass der RAT bestehen bleibt.
Warum es wichtig ist
Für Trader
Cryptojacking-Kampagnen wie diese verbrauchen Host-Ressourcen, statt Marktpreise zu bewegen, daher ist die direkte Auswirkung auf den Monero-Handel minimal.
Für Investoren
Die wiederholte Nutzung von Monero-Minern in Eindringkampagnen hält die Verbindung der Coin mit illegalem Mining in der Sicherheitsliteratur aufrecht, auch wenn keine Auswirkung auf den Kurs dokumentiert ist.
Für Entwickler
Jeder Dienst, der SQL Server oder ähnliche Datenbanken dem Internet aussetzt, sollte starke Authentifizierung erzwingen, xp_cmdshell deaktivieren und auf neue geplante Aufgaben sowie ausgehenden Mining-Pool-Verkehr achten.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
