SQL Server’lara saldırı: Monero(XMR) madencisi ve Gh0st RAT yüklendi

İnternete açık Microsoft(MSFT) SQL Server sistemlerini hedef alan saldırıda sunuculara Monero madencisiyle uzaktan kontrol sağlayan Gh0st RAT zararlı yazılımı birlikte yüklendi. Saldırganlar, veritabanı işlevlerini kullanarak Windows komutları çalıştırdı ve zararlı dosyalar indirdi.

Kampanya Ekim 2026’nın başında başladı. FortiGuard Labs, 12’sinde yayımladığı teknik analizde saldırının işleyişini anlattı.

Saldırganlar önce internete açık SQL Server’ları buldu. Zararlı dosyaya eklenen Naabu tarayıcısıyla TCP 1433 varsayılan bağlantı noktasına yanıt veren sunucuları aradı.

Ardından ‘sa’ ve ‘admin’ gibi kullanıcı adlarını, 2.700’den fazla paroladan oluşan bir listeyle deneyerek oturum açmaya çalıştı. Analizde belirtilen ilk erişim yöntemi sunucu taraması ve parola denemeleriydi.

Oturum açmayı başardıktan sonra T-SQL komutlarıyla ‘xp_cmdshell’ özelliğini etkinleştirdi. Bu özellik, veritabanı üzerinden Windows komutlarının çalıştırılmasını sağlıyor.

Saldırganlar bu özelliği kullanarak ek zararlı dosyalar indirip çalıştırdı. Yükleyici, zararlı dosyaların çalışmaya devam etmesi için zamanlanmış görevlerden ve kayıt defteri ayarlarından yararlandı.

Bazı dosya ve zamanlanmış görevlere Microsoft Edge güncellemelerini çağrıştıran adlar verildi. ‘MicrosoftEdgeUpdate.exe’ adlı dosya da tarayıcı güncellemesi değil, madencilik yazılımıydı.

XMRig tabanlı bu dosya, bulaştığı sunucuların CPU kaynaklarını kullanarak Monero madenciliği yaptı. FortiGuard Labs analizinde madencilik havuzuyla kurulan iletişimi de gösterdi.

Birlikte dağıtılan ‘winlogon.exe’ dosyasının Gh0st RAT’ın bir varyantı olduğu belirlendi. FortiGuard Labs’ın incelediği dosyada tuş kaydı ve veri hırsızlığı işlevleri ile 30’dan fazla kontrol komutu bulunuyordu.

Ekran görüntüsü alma ve uzak masaüstü özellikleri eklentiler aracılığıyla sunuluyor. Bunlar, incelenen dosyanın kendisinde doğrulanan işlevlerden ayrı özellikler.

Analiz sırasında Gh0st RAT’ın komuta kontrol sunucusu çevrim dışıydı. Araştırmacılar zararlı dosyayı statik olarak inceledi; bulaşmış sunucu ile kontrol sunucusu arasındaki iletişimin içeriğini doğrulayamadı.

Keeper Security’nin bilgi güvenliği direktörü Shane Barney, CSO Online’a verdiği röportajda, “İnternete açık veritabanları teknik borç veya yapılandırma hataları nedeniyle istemeden ortaya çıkabilir; ancak sabit ve sürekli kullanılan kimlik bilgilerine dayanmak bu maruziyeti ciddi bir güvenlik açığına dönüştürür” dedi. Barney, madencilik faaliyetinin uzaktan kontrol aracı üzerinden uzun süreli erişimi gizleyen bir ‘perde’ olarak kullanılabileceğini de ekledi.

Microsoft, SQL Server güvenlik belgelerinde xp_cmdshell’in varsayılan olarak devre dışı bırakıldığını ve genellikle kapalı tutulması gerektiğini belirtiyor. Özelliğe ihtiyaç duyulması halinde yalnızca gerekli olduğu süre boyunca etkinleştirilmesi öneriliyor.

Microsoft’un veritabanı motoruna erişim için hazırladığı güvenlik duvarı kılavuzu da SQL Server’ın yalnızca onaylı kullanıcı ve sistemlerin erişimine izin verecek şekilde yapılandırılmasını tavsiye ediyor.