今回確認された攻撃では、SQL Serverへの総当たりログイン後、コマンド実行機能を通じて採掘ソフトとGh0st RATが配置されていた。
攻撃は少なくとも10月初旬から続いている。攻撃者は用意したユーザー名とパスワードのリストを使い、ログインを総当たりで試す。侵入後はSQL Serverの「xp_cmdshell」を有効にする。この機能はWindowsのコマンドシェルを起動でき、攻撃者は不正プログラムの配置に利用する。
FortiGuard Labs、SQL Server攻撃でXMR採掘とRAT確認
TokenPost約1分で読めます
XMR
XMR
確認されたプログラムの1つは「MicrosoftEdgeUpdate.exe」という名前で、サーバーの計算資源を使ってモネロ（XMR）を採掘する。もう1つはGh0st RATの亜種で、キーボード入力を記録する。プラグイン経由で画面撮影などにも対応するが、その機能は分析対象のサンプルには含まれていなかった。
FortiGuard Labsの分析では、攻撃のローダーはタスクを登録して動作を維持する。Gh0st RATはレジストリのRunキーやWindowsサービス、タスクを使って感染後も動作を続ける。報告書は被害者数や攻撃主体を示していない。
