Loading imageLawrence Mondal
Loading imageOlivia Stephanie
Loading imageDes mineurs de Monero et le Gh0st RAT frappent des serveurs Microsoft SQL exposés - 1
Loading imageRail

Partager

FortiGuard Labs a découvert une campagne qui s'introduit dans des serveurs Microsoft SQL exposés sur Internet afin d'installer un logiciel de minage de Monero et un malware d'accès à distance capable de voler des données et de contrôler les machines infectées.

• Les attaquants exploitent des mots de passe de base de données faibles pour installer un mineur de Monero et une variante de Gh0st RAT.

• Le programme de minage se fait passer pour un programme de mise à jour de Microsoft Edge tout en exploitant la puissance de calcul du serveur.

• Des modifications du registre, des services Windows et des tâches planifiées aident le logiciel malveillant à maintenir son accès aux systèmes compromis.

FortiGuard Labs a détaillé l'opération dans un rapport du 12 novembre rédigé par le chercheur Xiaopeng Zhang, à la suite de la découverte de cette activité début octobre 2026. La publication n'identifie pas les attaquants et ne fournit aucun nombre confirmé de victimes.

Des mots de passe faibles sur SQL Server permettent aux attaquants d'installer des logiciels malveillants

Selon les recherches, les outils d'attaque recherchent les bases de données exposées et tentent de s'y connecter à l'aide d'identifiants prédéfinis. La liste de mots de passe contient plus de 2 700 entrées, associées à des noms d'utilisateur tels que « sa » et « admin ».

Après avoir obtenu l'accès, les attaquants exécutent des commandes de base de données qui activent xp_cmdshell et installent un téléchargeur. Le téléchargeur récupère le mineur de Monero et Gh0st RAT depuis un serveur contrôlé par les attaquants.

La documentation de Microsoft indique que xp_cmdshell est désactivé sur les nouvelles installations de SQL Server et qu'il devrait généralement le rester. Certaines applications plus anciennes en ont encore besoin, mais l'entreprise recommande de ne l'activer que pendant l'exécution d'une tâche nécessaire.

Cette fonctionnalité ouvre un interpréteur de commandes Windows depuis l'intérieur de SQL Server. Microsoft explique que les commandes exécutées par un administrateur de base de données via ce mécanisme héritent des autorisations de sécurité du compte de service SQL Server. Ses recommandations préconisent de restreindre l'accès aux utilisateurs hautement privilégiés et de recourir à un compte proxy moins privilégié lorsque des non-administrateurs ont besoin de cette fonctionnalité.

Microsoft précise qu'un non-administrateur doit disposer d'un identifiant proxy configuré pour utiliser xp_cmdshell. Sans cet identifiant, l'opération échoue. L'entreprise avertit que l'activation ou l'utilisation de cette fonctionnalité peut déclencher des outils d'audit de sécurité.

Un mineur de Monero se cache derrière un nom de mise à jour Edge

La charge utile de minage, MicrosoftEdgeUpdate.exe, utilise le processeur de la machine compromise pour miner du Monero via XMRig. Sa configuration contient une adresse de portefeuille et trois adresses de pools de minage, selon l'analyse de Zhang.

Une seconde charge utile, winlogon.exe, est une variante de Gh0st RAT dotée de capacités d'enregistrement des frappes clavier, de gestion de fichiers et d'exécution de commandes à distance. Les fonctions de capture d'écran et de bureau à distance sont fournies par des plugins ; elles n'étaient pas présentes dans l'échantillon analysé.

Les mécanismes de persistance décrits dans le rapport comprennent des entrées de registre, un service Windows et des tâches planifiées. La tâche planifiée du RAT s'exécute toutes les 30 minutes.

Les chercheurs ont examiné le RAT sans le connecter à un serveur de commande actif, car cette infrastructure avait déjà été mise hors service avant l'analyse.

Des attaques antérieures contre des serveurs associaient des mineurs à des outils d'accès à distance

Comme crypto.news l'a rapporté précédemment, des attaquants ont utilisé des serveurs de partage de fichiers vulnérables pour diffuser des mineurs de Monero et des logiciels malveillants à accès distant en juillet 2024. L'enquête d'AhnLab a documenté des attaques contre Rejetto HTTP File Server, notamment des installations de XMRig, XenoRAT et Gh0stRAT.

AhnLab a identifié au moins quatre attaquants déployant des logiciels de minage via le service exposé, dont le groupe LemonDuck. Ses chercheurs ont observé des intrus collectant des informations système, créant des comptes de porte dérobée et, dans de nombreux cas, mettant fin au serveur de fichiers après avoir établi l'accès afin d'empêcher d'autres attaquants de l'utiliser.

Plus récemment, Apple a corrigé une faille de macOS après que des attaquants ont exploité le partage d'écran pour installer des mineurs de Monero. Dans un avis du 12 août, le Centre national de cybersécurité des Pays-Bas a confirmé des intrusions sur plusieurs systèmes dont le port de partage d'écran était accessible depuis internet.

L'agence a indiqué que les attaquants ont obtenu un accès root et installé un mineur dans chaque cas signalé. Son avis décrivait une faiblesse d'authentification permettant un accès sans identifiants valides, des correctifs étant disponibles pour macOS Sequoia, Sonoma et Tahoe.

Une arnaque au recrutement usurpant CrowdStrike a diffusé le même logiciel de minage

L'entreprise américaine de cybersécurité CrowdStrike a fait face en janvier 2025 à une campagne d'usurpation distincte impliquant de fausses offres de recrutement. L'entreprise a indiqué que des courriels se faisant passer pour ses recruteurs incitaient les chercheurs d'emploi à télécharger une application présentée comme un outil de gestion des employés.

CrowdStrike a identifié la campagne le 7 janvier 2025. Son analyse a révélé que la page de téléchargement proposait des options Windows et macOS, bien que les deux aient livré un exécutable Windows écrit en Rust qui récupérait XMRig.

Avant de poursuivre, l'application malveillante vérifiait la présence de logiciels de débogage, comptait les processus actifs et vérifiait que le processeur disposait d'au moins deux cœurs. Après avoir passé ces contrôles, elle affichait un faux message d'erreur et poursuivait le téléchargement du mineur. CrowdStrike a déclaré qu'elle ne demande jamais aux candidats de télécharger des logiciels dans le cadre de son processus de recrutement.