Aanvallers forceren blootgestelde SQL-servers om Monero-miner en Gh0st RAT te installeren
FortiGuard Labs maakte op 12 november 2026 een campagne bekend die via zwakke inloggegevens inbreekt in op internet bereikbare Microsoft SQL-servers en een Monero-miner en een Gh0st RAT-variant installeert. Onderzoekers stellen dat de aanvallen begin oktober 2026 zijn begonnen; een bevestigd aantal slachtoffers of een koppeling aan een specifieke dader is er niet.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
Wat FortiGuard heeft gevonden
FortiGuard Labs maakte op 12 november 2026 een campagne bekend die op internet bereikbare Microsoft SQL Server-databases compromitteert en twee payloads installeert: een op XMRig gebaseerde Monero-miner en een Gh0st RAT-variant. Het bedrijf stelt dat de activiteit al sinds minstens begin oktober 2026 loopt. De operatie maakt gebruik van zwakke inloggegevens en een verkeerde configuratie in plaats van een softwarekwetsbaarheid.
De aanvallers scannen eerst naar bereikbare SQL Server-instanties met Naabu, een op Go gebaseerde scanner. Vervolgens doorloopt een .NET-tool een lijst met meer dan 2.700 veelgebruikte wachtwoorden, gekoppeld aan gebruikersnamen zoals "sa" en "admin". Onderzoeker Xiaopeng Zhang noemt in het rapport van FortiGuard de wachtwoordlijst de kern van de inbraak.
Hoe toegang controle wordt
Zodra ze zijn ingelogd, voeren de aanvallers T-SQL-commando's uit die xp_cmdshell inschakelen, een functie waarmee SQL Server opdrachten rechtstreeks aan het besturingssysteem kan doorgeven. Een downloader haalt vervolgens de miner en de RAT op van een door de aanvallers beheerde server. Microsofts documentatie stelt dat xp_cmdshell bij nieuwe installaties standaard is uitgeschakeld en adviseert om de functie uitgeschakeld te houden, behalve wanneer een specifieke taak dat vereist.
Microsoft zegt ook dat opdrachten via deze functie de rechten van het serviceaccount van SQL Server overnemen, en dat een niet-beheerder een geconfigureerde proxy-referentie nodig heeft om de bewerking te laten slagen. Het bedrijf waarschuwt dat het inschakelen of gebruiken van de functie beveiligingsauditprogramma's kan activeren. In deze campagne is de inschakelstap het punt waarop een databaseaanmelding verandert in toegang op hostniveau.
Payloads en persistentie
De miner draait onder de bestandsnaam MicrosoftEdgeUpdate.exe en gebruikt de CPU van de host om Monero te minen. De configuratie bevat een walletadres en drie adressen van miningpools. Eerder door FortiGuard aangehaalde telemetrie, zoals gerapporteerd door Crypto Briefing, noemde nanopool en kryptex als pools waarmee het contact legt; Crypto.news meldde dat de configuratie drie pooladressen bevat, zonder ze te noemen.
De tweede payload, winlogon.exe, is een Gh0st RAT-variant. Crypto Briefing beschrijft meer dan 30 ondersteunde commando's voor bestandsbeheer, keylogging, schermopnames, extern bureaublad en het stelen van QQ-berichtenreferenties. Crypto.news meldt dat het geanalyseerde monster keylogging, bestandsbeheer en externe commando's ondersteunt, en dat schermopname- en extern-bureaubladfuncties als plug-ins worden geleverd die niet in het monster aanwezig waren. De twee verslagen spreken elkaar dus tegen over hoeveel van de capaciteiten van de RAT in de geanalyseerde build aanwezig was. Beide stellen wel dat de RAT is ontworpen voor brede controle over de geïnfecteerde machine.
Beide payloads blijven actief via registervermeldingen en geplande taken. Crypto.news voegt een Windows-service toe en meldt dat de geplande taak van de RAT elke 30 minuten draait. Command-and-control-domeinen die in de berichtgeving worden genoemd, zijn onder meer server.vietnam852[.]com en www.swordaa[.]com. Crypto.news merkt op dat de commando-infrastructuur van de RAT al was uitgeschakeld voordat de analyse plaatsvond, zodat de onderzoekers het monster analyseerden zonder live server.
Omvang en toeschrijving
Geen van beide rapporten bevestigt een aantal slachtoffers. FortiGuard heeft de campagne niet aan een specifieke dader toegeschreven; het enige aanknopingspunt naast technische indicatoren zijn Chinees-talige kenmerken die in de malware zijn gevonden. Crypto.news bevestigt, op basis van hetzelfde onderzoek, dat het de aanvallers ook niet identificeert.
De campagne past in een breder patroon van cryptojacking en het uitrollen van RAT's tegen blootgestelde diensten. Crypto.news meldde eerder over documentatie van AhnLab over aanvallen op Rejetto HTTP File Server in 2024, waaronder Monero-miners en Gh0stRAT, en over een adviesbericht van het Nederlandse NCSC uit augustus over installaties van Monero-miners via een op internet bereikbare poort van macOS Screen Sharing.
Defensieve maatregelen
De maatregelen in de berichtgeving zijn conventioneel. Sterke, unieke wachtwoorden maken een woordenboek van deze omvang nutteloos. Databasepoorten buiten het publieke internet houden haalt ze van de doellijst van de scanner. Xp_cmdshell uitgeschakeld houden, zoals Microsoft aanbeveelt, blokkeert de stap van database naar besturingssysteem die beide rapporten als centraal aanmerken.
Verdedigers kunnen zoeken naar MicrosoftEdgeUpdate.exe die CPU verbruikt op een databaseserver, onverwachte geplande taken en registervermeldingen, een Windows-service met een onverwacht doel en uitgaande verbindingen naar miningpools. De beoordeling van Crypto Briefing is dat de RAT, en niet de miner, het grotere risico vormt, omdat hij inloggegevens en toetsaanslagen kan vastleggen en als opstapje naar het bredere netwerk kan dienen. Alleen de miner verwijderen kan betekenen dat de RAT blijft zitten.
Waarom het ertoe doet
Voor traders
Cryptojacking-campagnes zoals deze verbruiken hostbronnen in plaats van marktprijzen te bewegen, dus het directe effect op de Monero-handel is minimaal.
Voor beleggers
Herhaaldelijk gebruik van Monero-miners in inbraakcampagnes houdt de associatie van de munt met illegaal minen in de beveiligingsliteratuur in stand, al is er geen prijseffect gedocumenteerd.
Voor bouwers
Elke dienst die SQL Server of vergelijkbare databases aan het internet blootstelt, moet sterke authenticatie afdwingen, xp_cmdshell uitschakelen en letten op nieuwe geplande taken en uitgaand verkeer naar miningpools.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
