Atacantes fuerzan por fuerza bruta servidores SQL expuestos para desplegar un minero de Monero y el RAT Gh0st

Microsoft también señala que los comandos ejecutados mediante esta función heredan los permisos de la cuenta de servicio de SQL Server, y que un usuario no administrador necesita una credencial de proxy configurada para que la operación tenga éxito. La compañía advierte de que habilitar o usar la función puede activar herramientas de auditoría de seguridad. En esta campaña, el paso de habilitación es el punto en el que un inicio de sesión en la base de datos se convierte en acceso a nivel de host.

Cargas y persistencia

El minero se ejecuta con el nombre de archivo MicrosoftEdgeUpdate.exe y usa la CPU del equipo para minar Monero. Su configuración incluye una dirección de monedero y tres direcciones de pools de minado. Telemetría anterior citada por FortiGuard, según informó Crypto Briefing, nombró nanopool y kryptex entre los pools que contacta; Crypto.news informó de que la configuración contiene tres direcciones de pool sin nombrarlas.

La segunda carga, winlogon.exe, es una variante del RAT Gh0st. Crypto Briefing describe más de 30 comandos compatibles que cubren gestión de archivos, registro de pulsaciones de teclas, captura de pantalla, escritorio remoto y robo de credenciales de mensajería QQ. Crypto.news informa de que la muestra analizada admite registro de teclas, gestión de archivos y comandos remotos, y de que las funciones de captura de pantalla y escritorio remoto se entregan como plugins que no estaban presentes en la muestra. Las dos cuentas, por tanto, discrepan sobre cuánta de la capacidad del RAT estaba presente en la versión analizada. Ambas coinciden en que el RAT está diseñado para un control amplio de la máquina infectada.

Ambas cargas persisten mediante entradas del registro y tareas programadas. Crypto.news añade un servicio de Windows y señala que la tarea programada del RAT se ejecuta cada 30 minutos. Los dominios de comando y control citados en la información incluyen server.vietnam852[.]com y www.swordaa[.]com. Crypto.news señala que la infraestructura de comandos del RAT ya estaba apagada antes del análisis, por lo que los investigadores examinaron la muestra sin un servidor activo.

Alcance y atribución

Ninguno de los informes confirma un recuento de víctimas. FortiGuard no ha atribuido la campaña a un actor concreto; el único indicio más allá de los indicadores técnicos son rasgos en lengua china encontrados en el malware. Crypto.news, citando la misma investigación, confirma que tampoco identifica a los atacantes.

La campaña encaja en un patrón más amplio de cryptojacking y despliegue de RAT contra servicios expuestos. Crypto.news informó previamente de la documentación de AhnLab sobre ataques contra Rejetto HTTP File Server en 2024, que incluían mineros de Monero y Gh0stRAT, y de un aviso del NCSC neerlandés de agosto que describía instalaciones de mineros de Monero a través de un puerto de Uso compartido de pantalla de macOS accesible desde internet.

Medidas defensivas

Las mitigaciones de la información son convencionales. Las credenciales fuertes y únicas neutralizan un diccionario de este tamaño. Mantener los puertos de las bases de datos fuera de internet los saca de la lista de objetivos del escáner. Mantener xp_cmdshell deshabilitado, como recomienda Microsoft, bloquea el paso de la base de datos al sistema operativo que ambos informes identifican como central.

Los defensores pueden buscar MicrosoftEdgeUpdate.exe consumiendo CPU en un servidor de base de datos, tareas programadas y entradas de registro inesperadas, un servicio de Windows con un propósito no previsto y conexiones salientes a pools de minado. La evaluación de Crypto Briefing es que el RAT, no el minero, es el riesgo mayor, porque puede capturar credenciales y pulsaciones de teclas y servir de punto de apoyo en la red más amplia. Eliminar solo el minero puede dejar el RAT en su lugar.

Por qué importa

Para los traders

Las campañas de cryptojacking como esta consumen recursos del equipo en lugar de mover los precios de mercado, por lo que el efecto directo sobre el trading de Monero es mínimo.

Para los inversores

El uso reiterado de mineros de Monero en campañas de intrusión mantiene la asociación de la moneda con la minería ilícita en la literatura de seguridad, aunque no se documenta ningún impacto en el precio.

Para los desarrolladores

Cualquier servicio que exponga SQL Server u otras bases de datos similares a internet debe aplicar una autenticación robusta, deshabilitar xp_cmdshell y vigilar nuevas tareas programadas y el tráfico saliente hacia pools de minado.