FortiGuard Labs 发现针对微软 SQL Server 的挖矿与远程控制攻击行动
FortiGuard Labs 近日揭露了一起针对面向互联网的 Microsoft SQL Server 的攻击行动。攻击者利用弱口令入侵服务器，安装门罗币（Monero）挖矿软件及具备数据窃取和远程控制能力的恶意程序。
攻击手法与持久化机制
攻击者主要利用数据库密码强度不足的问题，部署门罗币矿工以及 Gh0st RAT（一种远程控制木马）变种。该挖矿程序伪装成 Microsoft Edge 更新程序，并利用服务器的计算资源进行挖矿。此外，通过修改注册表、创建 Windows 服务以及设置计划任务，恶意软件能够在被攻陷的系统上维持访问权限。
FortiGuard Labs 的研究员 Xiaopeng Zhang 于 11 月 12 日发布的报告中详细描述了此次行动。该活动最早于 2026 年 10 月初被发现，但报告未披露攻击者身份或确认的具体受害者数量。
弱口令导致恶意软件植入
根据研究，攻击工具会扫描暴露在互联网上的数据库，并使用预定义的凭据尝试登录。其使用的密码列表包含超过 2,700 个条目，并搭配 “sa”、“admin” 等用户名。
一旦获得访问权限，攻击者将执行数据库命令以启用 xp_cmdshell 功能并安装下载器。随后，下载器会从受攻击者控制的服务器中获取门罗币挖矿程序和 Gh0st RAT。
微软官方文档指出，新安装的 SQL Server 默认禁用 xp_cmdshell，且通常应保持关闭状态。虽然部分旧版应用程序可能依赖此功能，但公司建议仅在运行必要任务时临时启用。该功能允许从 SQL Server 内部调用 Windows 命令 shell。通过此机制由数据库管理员执行的命令，将继承 SQL Server 服务账户的安全权限。微软的指导原则建议仅对高权限用户开放访问，并在非管理员需要使用时使用低权限代理账户。
微软强调，非管理员必须配置代理凭据才能使用 xp_cmdshell，否则操作将失败。启用或使用该功能可能会触发安全审计工具的警报。
门罗币矿工伪装为 Edge 更新
挖矿负载文件名为 MicrosoftEdgeUpdate.exe，它利用受感染机器的 CPU 通过 XMRig 挖掘门罗币。Zhang 的分析显示，其配置文件中包含一个钱包地址和三个挖矿池地址。
第二个负载文件 winlogon.exe 是 Gh0st RAT 的变种，具备键盘记录、文件管理和远程命令执行能力。屏幕捕获和远程桌面功能通过插件提供，但在本次分析的样本中并未发现这些插件。
报告中描述的持久化机制包括注册表项、Windows 服务和计划任务。RAT 的计划任务每 30 分钟运行一次。研究人员在分析期间未将该 RAT 连接到活跃的指挥控制服务器，因为相关基础设施已在分析前关闭。
过往类似攻击案例回顾
此前已有报道指出，攻击者曾利用易受攻击的文件共享服务器分发门罗币矿工和远程控制恶意软件。例如，2024 年 7 月，AhnLab 的调查记录了针对 Rejetto HTTP File Server 的攻击，其中包括安装 XMRig、XenoRAT 和 Gh0stRAT。
AhnLab 至少识别出四名攻击者通过暴露的服务部署挖矿软件，其中包括 LemonDuck 组织。研究人员观察到入侵者在建立访问后收集系统信息、创建后门账户，并在许多情况下终止文件服务器进程，以防止其他攻击者利用该入口。
近期，Apple 修复了一个 macOS 漏洞，此前攻击者曾利用“屏幕共享”功能安装门罗币矿工。荷兰国家网络安全中心（NCSC-NL）在 8 月 12 日的公告中确认，多个系统的屏幕共享端口可从互联网访问并遭到入侵。机构表示，在所有报告案例中，攻击者均获得了 root 权限并安装了矿工。公告描述了一种身份验证弱点，允许在无效凭据的情况下访问，相关修复措施已适用于 macOS Sequoia、Sonoma 和 Tahoe 版本。
CrowdStrike 招聘诈骗事件同样涉及挖矿软件
美国网络安全公司 CrowdStrike 在 2025 年 1 月遭遇了一起单独的冒充活动，涉及虚假的招聘要约。该公司表示，伪装成其招聘人员的电子邮件诱导求职者下载一款声称是员工管理工具的应用程序。
CrowdStrike 于 2025 年 1 月 7 日识别出该活动。分析发现，下载页面提供了 Windows 和 macOS 选项，但两者最终交付的都是用 Rust 编写的 Windows 可执行文件，用于获取 XMRig。
在继续运行之前，恶意应用程序会检查是否存在调试软件、统计活跃进程数，并验证 CPU 是否至少拥有两个核心。通过检查后，它会显示一个虚假的错误消息，并继续下载挖矿程序。CrowdStrike 表示，在其招聘流程中从未要求候选人下载任何软件。
