เจาะ SQL Server ติดตั้งตัวขุดโมเนโรและ Gh0st RAT

การโจมตีเซิร์ฟเวอร์ SQL Server ของไมโครซอฟท์(Microsoft, MSFT) ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต ติดตั้งทั้งโปรแกรมขุดโมเนโร(XMR) และมัลแวร์ควบคุมระยะไกล Gh0st RAT ผู้โจมตีใช้ฟังก์ชันฐานข้อมูลสั่งรันคำสั่ง Windows และดาวน์โหลดไฟล์อันตราย

แคมเปญนี้เริ่มขึ้นในช่วงต้นเดือนตุลาคม 2026 โดย FortiGuard Labs อธิบายขั้นตอนการโจมตีไว้ในบทวิเคราะห์ทางเทคนิคที่เผยแพร่เมื่อวันที่ 12

เดารหัสผ่านก่อนสั่งรันคำสั่ง SQL

ผู้โจมตีค้นหาเซิร์ฟเวอร์ SQL Server ที่เปิดให้เข้าถึงทางอินเทอร์เน็ต โดยใช้ Naabu ซึ่งเป็นเครื่องมือสแกนที่ฝังอยู่ในไฟล์อันตราย เพื่อตรวจหาเซิร์ฟเวอร์ที่ตอบสนองบนพอร์ต TCP 1433 ซึ่งเป็นพอร์ตเชื่อมต่อเริ่มต้น

จากนั้นพวกเขาลองเข้าสู่ระบบด้วยชื่อผู้ใช้ เช่น ‘sa’ และ ‘admin’ พร้อมรหัสผ่านมากกว่า 2,700 รายการ เส้นทางการบุกรุกที่ระบุในบทวิเคราะห์ประกอบด้วยการค้นหาเซิร์ฟเวอร์และการเดารหัสผ่าน

เมื่อเข้าสู่ระบบได้ ผู้โจมตีใช้คำสั่ง T-SQL เปิดใช้งาน ‘xp_cmdshell’ ซึ่งช่วยให้เรียกใช้คำสั่ง Windows จากฐานข้อมูลได้

ผู้โจมตีใช้ฟังก์ชันนี้ดาวน์โหลดและเรียกใช้ไฟล์อันตรายเพิ่มเติม ตัวโหลดมัลแวร์ยังใช้ Scheduled Tasks และการตั้งค่ารีจิสทรีเพื่อให้ไฟล์ทำงานต่อเนื่อง

ไฟล์และ Scheduled Tasks บางรายการใช้ชื่อที่ชวนให้นึกถึงการอัปเดต Microsoft Edge โดยไฟล์ชื่อ ‘MicrosoftEdgeUpdate.exe’ แท้จริงเป็นโปรแกรมขุดเหรียญ ไม่ใช่ตัวอัปเดตเบราว์เซอร์

ไฟล์ดังกล่าวสร้างจาก XMRig และใช้ CPU ของเซิร์ฟเวอร์ที่ติดมัลแวร์เพื่อขุดโมเนโร FortiGuard Labs ยังแสดงให้เห็นในการวิเคราะห์ว่าโปรแกรมขุดติดต่อกับพูลขุดเหรียญ

ติดตั้งเครื่องมือควบคุมระยะไกลควบคู่กับตัวขุด

ไฟล์ ‘winlogon.exe’ ที่ถูกติดตั้งมาพร้อมกันเป็นมัลแวร์ Gh0st RAT สายพันธุ์หนึ่ง FortiGuard Labs พบว่าไฟล์ที่นำมาวิเคราะห์มีความสามารถบันทึกการกดแป้นพิมพ์และขโมยข้อมูล รวมถึงคำสั่งควบคุมมากกว่า 30 รายการ

การจับภาพหน้าจอและเดสก์ท็อประยะไกลเป็นความสามารถที่ให้บริการผ่านปลั๊กอิน จึงแตกต่างจากฟังก์ชันที่ตรวจพบในไฟล์ซึ่งนำมาวิเคราะห์ครั้งนี้

ในช่วงเวลาที่วิเคราะห์ เซิร์ฟเวอร์สั่งการและควบคุมของ Gh0st RAT ออฟไลน์ไปแล้ว นักวิจัยวิเคราะห์ไฟล์มัลแวร์จากโครงสร้างของไฟล์ จึงไม่สามารถตรวจสอบเนื้อหาการสื่อสารระหว่างเซิร์ฟเวอร์ที่ติดมัลแวร์กับเซิร์ฟเวอร์ควบคุมได้

เชน บาร์นีย์(Shane Barney) ประธานเจ้าหน้าที่ฝ่ายความมั่นคงปลอดภัยสารสนเทศของ Keeper Security กล่าวในการให้สัมภาษณ์กับ CSO Online ว่า “ฐานข้อมูลที่เปิดให้เข้าถึงจากอินเทอร์เน็ตอาจเกิดขึ้นโดยไม่ตั้งใจจากหนี้ทางเทคนิคหรือการตั้งค่าผิดพลาด แต่การพึ่งพาข้อมูลเข้าสู่ระบบแบบตายตัวและใช้งานอยู่ตลอดทำให้การเปิดเผยนั้นกลายเป็นช่องโหว่ร้ายแรง” เขาเสริมว่าการขุดเหรียญอาจทำหน้าที่เป็น ‘ฉากบังหน้า’ เพื่อซ่อนการเข้าถึงระบบระยะยาวผ่านเครื่องมือควบคุมระยะไกล

ไมโครซอฟท์แนะนำในเอกสารความปลอดภัยของ SQL Serverให้ปิด xp_cmdshell ไว้เป็นค่าเริ่มต้นและโดยทั่วไปควรปิดใช้งานต่อไป หากจำเป็นต้องใช้ ควรเปิดเฉพาะในช่วงเวลาที่ทำงานจริง

ไมโครซอฟท์ระบุในคำแนะนำเรื่องไฟร์วอลล์ว่าควรกำหนดให้เซิร์ฟเวอร์ SQL Server อนุญาตการเข้าถึงกลไกฐานข้อมูลเฉพาะผู้ใช้หรือระบบที่ได้รับอนุญาต