이미지 불러오는 중로런스 몬달
이미지 불러오는 중올리비아 스테파니
이미지 불러오는 중모네로 채굴 프로그램과 Gh0st RAT, 노출된 마이크로소프트 SQL 서버 공격 - 1
이미지 불러오는 중레일

공유

FortiGuard Labs는 인터넷에 노출된 Microsoft SQL Server에 침입해 모네로 채굴 소프트웨어와 데이터 탈취 및 감염된 기기 제어가 가능한 원격 접속 악성코드를 설치하는 캠페인을 발견했다.

• 공격자들은 취약한 데이터베이스 비밀번호를 이용해 모네로 채굴 프로그램과 Gh0st RAT 변종을 설치한다.

• 이 채굴 프로그램은 마이크로소프트 엣지 업데이터로 위장하면서 서버의 처리 능력을 사용합니다.

• 레지스트리 변경, 윈도우 서비스, 예약 작업은 악성코드가 감염된 시스템에 대한 접근 권한을 유지하도록 돕습니다.

FortiGuard Labs는 2026년 10월 초 이 활동을 발견한 후, 연구원 Xiaopeng Zhang의 11월 12일 보고서에서 이 작전을 상세히 설명했습니다. 이 보고서는 공격자들을 밝히지 않으며 확인된 피해자 수치도 제시하지 않습니다.

취약한 SQL Server 비밀번호로 인해 공격자가 악성코드를 설치할 수 있습니다

연구에 따르면, 공격 도구는 노출된 데이터베이스를 검색하고 미리 정의된 자격 증명을 사용해 로그인을 시도합니다. 비밀번호 목록에는 2,700개 이상의 항목이 포함되어 있으며, "sa" 및 "admin"과 같은 사용자 이름과 함께 사용됩니다.

접근 권한을 획득한 후, 공격자는 xp_cmdshell을 활성화하고 다운로더를 설치하는 데이터베이스 명령을 실행합니다. 다운로더는 공격자가 제어하는 서버에서 Monero 채굴기와 Gh0st RAT를 가져옵니다.

마이크로소프트 문서에 따르면 xp_cmdshell은 새 SQL Server 설치에서 기본적으로 비활성화되어 있으며 일반적으로 계속 꺼 두어야 한다. 일부 오래된 애플리케이션은 여전히 이를 필요로 하지만, 마이크로소프트는 필요한 작업이 실행되는 동안에만 활성화할 것을 권장한다.

이 기능은 SQL Server 내부에서 Windows 명령 셸을 여는 역할을 한다. 마이크로소프트는 데이터베이스 관리자가 이 메커니즘을 통해 실행하는 명령이 SQL Server 서비스 계정의 보안 권한을 상속한다고 설명한다. 마이크로소프트의 지침은 접근을 고권한 사용자로 제한하고, 비관리자가 이 기능을 사용해야 할 경우에는 권한이 낮은 프록시 계정을 사용할 것을 권장한다.

마이크로소프트는 비관리자가 xp_cmdshell을 사용하려면 구성된 프록시 자격 증명이 필요하다고 밝힌다. 해당 자격 증명이 없으면 작업은 실패한다. 마이크로소프트는 이 기능을 활성화하거나 사용하면 보안 감사 도구가 작동할 수 있다고 경고한다.

모네로 채굴기는 Edge 업데이트 이름 뒤에 숨어 있다

채굴 페이로드인 MicrosoftEdgeUpdate.exe는 감염된 시스템의 CPU를 이용해 XMRig를 통해 모네로를 채굴한다. Zhang의 분석에 따르면 이 구성에는 지갑 주소 하나와 채굴 풀 주소 세 개가 포함되어 있다.

두 번째 페이로드인 winlogon.exe는 키로깅, 파일 관리, 원격 명령 기능을 갖춘 Gh0st RAT 변종이다. 화면 캡처와 원격 데스크톱 기능은 플러그인을 통해 제공되며, 분석된 샘플에는 포함되어 있지 않았다.

보고서에 설명된 지속성 메커니즘에는 레지스트리 항목, Windows 서비스, 예약된 작업이 포함됩니다. RAT의 예약된 작업은 30분마다 실행됩니다.

연구진은 해당 인프라가 분석 전에 이미 종료되었기 때문에 라이브 명령 서버에 연결하지 않은 상태로 RAT를 조사했습니다.

이전의 서버 공격들은 채굴 프로그램을 원격 접속 도구와 함께 사용했습니다

crypto.news가 앞서 보도한 바와 같이, 공격자들은 2024년 7월 취약한 파일 공유 서버를 이용해 모네로 채굴 프로그램과 원격 접속 악성코드를 유포했습니다. AhnLab의 조사에서는 XMRig, XenoRAT, Gh0stRAT의 설치를 포함해 Rejetto HTTP 파일 서버를 대상으로 한 공격이 기록되었습니다.

AhnLab은 LemonDuck 그룹을 포함해 최소 4개의 공격자가 노출된 서비스를 통해 채굴 소프트웨어를 배포한 것을 확인했습니다. 해당 연구진은 침입자들이 시스템 정보를 수집하고 백도어 계정을 생성했으며, 많은 경우 접근 권한을 확보한 뒤 다른 공격자가 사용하지 못하도록 파일 서버를 종료하는 것을 관찰했습니다.

보다 최근에는 공격자들이 화면 공유를 악용해 모네로 채굴 프로그램을 설치한 후 애플이 macOS 취약점을 패치했습니다. 네덜란드 국가사이버보안센터는 8월 12일 권고문에서 화면 공유 포트가 인터넷에서 접근 가능한 여러 시스템에 대한 침입을 확인했습니다.

해당 기관은 신고된 모든 사례에서 공격자들이 루트 접근 권한을 획득하고 채굴 프로그램을 설치했다고 밝혔다. 기관의 권고문은 유효한 자격 증명 없이도 접근이 가능하게 하는 인증 취약점을 설명했으며, macOS Sequoia, Sonoma, Tahoe용 수정 사항이 제공된다고 전했다.

CrowdStrike 채용 사기, 동일한 채굴 소프트웨어 유포

미국 사이버보안 기업 CrowdStrike는 2025년 1월 가짜 채용 제안을 이용한 별도의 사칭 캠페인에 직면했다. 이 회사는 자사 채용 담당자를 사칭한 이메일이 구직자들을 직원 관리 도구로 소개된 애플리케이션을 다운로드하도록 유도했다고 밝혔다.

CrowdStrike는 2025년 1월 7일 이 캠페인을 확인했다. 분석 결과 다운로드 페이지는 Windows와 macOS 옵션을 제공했지만, 두 옵션 모두 XMRig를 불러오는 Rust로 작성된 Windows 실행 파일을 전달했다.

실행에 앞서 악성 애플리케이션은 디버깅 소프트웨어를 탐지하고, 활성 프로세스 수를 세며, CPU에 최소 2개의 코어가 있는지 확인했다. 이러한 검사를 통과한 후 가짜 오류 메시지를 표시하고 채굴 프로그램 다운로드를 계속했다. CrowdStrike는 자사의 채용 과정에서 지원자에게 소프트웨어 다운로드를 요구한 적이 없다고 밝혔다.