if ( !emtpy($headline_subheadline ) ) : ?>
Les attaquants forcent brutalement les instances Microsoft SQL Server accessibles sur Internet et abusent des commandes T-SQL pour déployer un mineur Monero et un logiciel malveillant d’accès à distance.
endif; ?>
Une campagne de menaces active combine l’analyse des ports, la recherche de mots de passe et les commandes Transact-SQL (T-SQL) pour compromettre les serveurs Microsoft SQL exposés et diffuser des logiciels malveillants.
Les attaquants utilisent des listes de noms d’utilisateur et de mots de passe prédéfinis pour pénétrer par force brute dans ces serveurs et exploiter leurs capacités d’administration pour exécuter des commandes sur les systèmes Windows sous-jacents.
Cette activité met en évidence le défi persistant que représente la sécurisation des accès privilégiés à travers des infrastructures complexes et souvent héritées, a déclaré Shane Barney, responsable de la sécurité de l’information chez Keeper Security. « Même si les bases de données accessibles sur Internet sont parfois le résultat involontaire d’une dette technique ou de mauvaises configurations, le fait de s’appuyer sur des informations d’identification statiques et permanentes transforme cette exposition en une vulnérabilité critique », a-t-il déclaré. « Lorsque les connexions administratives peuvent être forcées, les attaquants obtiennent un contrôle immédiat et incontrôlé pour déployer des logiciels malveillants sans avoir besoin d’un seul exploit complexe. »
La campagne propose deux charges utiles distinctes : un mineur de crypto-monnaie Monero basé sur XMRig qui détourne les ressources informatiques des serveurs compromis, et une variante du cheval de Troie d’accès à distance (RAT) Gh0st qui donne aux attaquants un accès à distance et des fonctionnalités telles que l’enregistrement de frappe et le vol de données.
Microsoft n’a pas immédiatement répondu à une demande de commentaire.
Connexions SQL brutales pour obtenir les commandes Windows
La charge utile récupère les plages IP cibles d’un serveur contrôlé par un attaquant, les convertit en plages CIDR et analyse les adresses générées aléatoirement pour les systèmes avec le port TCP 1433 ouvert. Il s’agit du port par défaut utilisé par Microsoft SQL Server.
Une fois les serveurs accessibles identifiés, le logiciel malveillant enregistre leurs adresses IP et lance une attaque par force brute à l’aide d’un exécutable distinct nommé « dwn.exe ». L’outil tente de s’authentifier avec des noms d’utilisateur tels que « sa » et « admin », ainsi qu’une liste de mots de passe prédéfinis contenant plus de 2 700 entrées.
Les connexions réussies donnent aux attaquants bien plus qu’un accès à la base de données, a déclaré Zhang. Le malware exécute une série de commandes T-SQL malveillantes contenues dans un fichier nommé 2018.sql, en utilisant la fonctionnalité d’administration de SQL Server pour exécuter des commandes sur la machine Windows compromise.
Entre autres choses, les commandes activent xp_cmdshell, une fonctionnalité de SQL Server qui permet aux administrateurs de bases de données d’exécuter des opérations du shell de commandes Windows. Les attaquants l’utilisent ensuite pour télécharger ou extraire des exécutables dans le répertoire « C:UsersPublic » du serveur et les exécuter.
Jason Soroko, chercheur principal chez Sectigo, a déclaré que la campagne transforme efficacement une connexion à une base de données en un moyen d’exécuter des logiciels malveillants sur le serveur. « Les organisations devraient supprimer l’accès Internet direct à SQL Server, restreindre les connexions aux systèmes approuvés et appliquer des informations d’identification solides et uniques », a-t-il déclaré. « L’accès administratif devrait être limité aux comptes qui en ont besoin. »
Soroko a également recommandé de garder xp_cmdshell désactivé sauf si cela est nécessaire et de surveiller les tentatives pour l’activer.
Un cryptomineur et un Gh0st RAT nous accompagnent
Les commandes T-SQL malveillantes déploient un chargeur qui récupère des exécutables supplémentaires de l’infrastructure FTP des attaquants, notamment un mineur de crypto-monnaie Monero et une variante du Gh0st RAT.
FortiGuard a observé une charge utile, MicrosoftEdgeUpdate.exe, se faisant passer pour une mise à jour légitime du navigateur mais qui s’avère en réalité être un mineur de crypto-monnaie basé sur XMRig. Il utilise les ressources CPU du serveur compromis pour exploiter Monero et communique avec les pools miniers à l’aide d’une adresse de portefeuille intégrée dans sa configuration.
La variante Gh0st RAT a été livrée via « Winlogon.exe ». Les chercheurs ont identifié des fonctionnalités d’enregistrement de frappe, de gestion de fichiers, de vol de données, d’exécution de shell à distance et de gestion de processus, ainsi que plus de 30 commandes de contrôle. Ses capacités incluent également la capture d’écran et l’accès au bureau à distance via des plugins.
L’attaque a été détectée à l’aide de plusieurs mécanismes de persistance pour maintenir l’accès. La charge utile initiale crée une tâche planifiée s’exécutant toutes les 30 minutes, tandis que le téléchargeur établit une autre tâche à exécuter de manière répétée quotidiennement à 1 heure du matin. Le Gh0st RAT, quant à lui, s’ajoute à la clé Exécuter du registre Windows, installe un service Windows et crée une tâche planifiée qui le lance toutes les 30 minutes.
Barney a déclaré que les cryptomineurs peuvent servir à détourner l’attention des implications les plus graves d’une intrusion. Les attaquants, a-t-il noté, peuvent utiliser l’activité minière comme « un écran de fumée pour établir une persistance à long terme grâce à des outils d’accès à distance ». FortiGuard a déclaré qu’il fournissait une couverture de détection pour la campagne via ses services FortiGuard IPS, Web Filtering et Antivirus. Pour ceux qui ne sont pas ses clients, la société a partagé une liste d’indicateurs de compromission (IoC) pour aider à détecter les infections potentielles.
