بيتكوين وورلدالعثور على أداة تعدين Monero وGh0st RAT على خوادم SQL مكشوفة

ربطت FortiGuard Labs حملة لسرقة العملات المشفرة والوصول عن بُعد بخوادم Microsoft SQL المكشوفة على الإنترنت، وفصّلت العملية في تقرير صدر في 12 نوفمبر عن الباحث Xiaopeng Zhang، بعد اكتشاف النشاط في أوائل أكتوبر 2026، وفقًا لما أفاد به Crypto.news في 14 نوفمبر. ويزرع المهاجمون أداة تعدين Monero ونسخة من Gh0st RAT على الأجهزة المخترقة، بحسب التقرير.

قالت FortiGuard Labs إن المهاجمين استخدموا كلمات مرور ضعيفة لخوادم SQL لتثبيت أداة تعدين Monero متخفية في هيئة MicrosoftEdgeUpdate.exe، بالإضافة إلى نسخة من Gh0st RAT. اكتُشف هذا النشاط في أوائل أكتوبر 2026، ولم يُربط بمجموعة محددة أو بعدد مؤكد للضحايا. أبرز الحقائق

• نشرت FortiGuard Labs النتائج في 12 نوفمبر 2026 ضمن تقرير أعدّه الباحث شياو بينغ تشانغ، بعد اكتشاف النشاط في أوائل أكتوبر 2026.

• تحاول أدوات الهجوم تسجيل الدخول إلى قواعد البيانات المكشوفة باستخدام بيانات اعتماد محددة مسبقًا، وقائمة كلمات مرور تضم أكثر من 2,700 إدخال، وأسماء مستخدمين مثل “sa” و“admin”.

• بعد الحصول على إمكانية الوصول، يفعّل المهاجمون xp_cmdshell ويشغّلون أداة تنزيل تجلب برمجية تعدين Monero وGh0st RAT من خادم يتحكم به المهاجمون.

• يُسمّى ملف حمولة التعدين MicrosoftEdgeUpdate.exe، ويعدّن Monero عبر XMRig مستخدمًا وحدة المعالجة المركزية للخادم.

• أفادت PANews، نقلًا عن تغطية Crypto Briefing للإفصاح نفسه من FortiGuard، بأن الحملة نشطة منذ أوائل أكتوبر 2026 على الأقل.

كيف يتطور الاختراق

تبدأ العملية من تسجيل الدخول إلى قاعدة البيانات نفسها. تبحث الأدوات عن خوادم SQL المتاحة عبر الإنترنت وتحاول تسجيل الدخول باستخدام قائمة محددة مسبقًا، إذ تقرن كلمات المرور بأسماء مستخدمين تبدو إدارية. وبمجرد الدخول، يفعّل المهاجمون xp_cmdshell، وهي ميزة في SQL Server تتيح فتح موجّه أوامر Windows من داخل محرك قاعدة البيانات.

توضح وثائق Microsoft أن xp_cmdshell معطّلة في عمليات تثبيت SQL Server الجديدة، وينبغي أن تظل معطّلة في معظم الحالات. لا تزال بعض التطبيقات القديمة تعتمد عليها، لكن الشركة توصي بتفعيلها فقط أثناء تنفيذ مهمة تتطلبها. وترث الأوامر الصادرة عبر هذه الميزة أذونات الأمان الخاصة بحساب خدمة SQL Server، وتنصح Microsoft بقصر الوصول عليها على المستخدمين ذوي الامتيازات العالية، أو استخدام حساب وكيل أقل امتيازًا عندما يحتاج إليها غير المسؤولين. وتحذر الشركة أيضًا من أن تفعيل xp_cmdshell أو استخدامها قد يؤدي إلى تشغيل أدوات التدقيق.

ومن موجّه الأوامر هذا، تسترجع أداة تنزيل ملفي حمولة من خادم يتحكم به المهاجمون:

• MicrosoftEdgeUpdate.exe — مكوّن التعدين، الذي يستخدم وحدة المعالجة المركزية للجهاز لتعدين Monero عبر XMRig. ويتضمن ملف الإعدادات عنوان محفظة وثلاثة عناوين لمجمّعات تعدين.

• winlogon.exe — نسخة من Gh0st RAT تتضمن وظائف تسجيل ضغطات المفاتيح وإدارة الملفات وتنفيذ الأوامر عن بُعد. وتتوفر ميزتا التقاط الشاشة وسطح المكتب البعيد عبر إضافات لم تكن موجودة في العينة التي خضعت للتحليل.

تتحقق الاستمرارية عبر إدخالات السجل وخدمة Windows والمهام المجدولة. ووفقًا لتحليل تشانغ، تعمل المهمة المجدولة الخاصة ببرمجية RAT كل 30 دقيقة. وفحص الباحثون برمجية RAT من دون الاتصال بخادم أوامر فعلي، لأن البنية التحتية المرتبطة به كانت قد أُخرجت من الخدمة قبل التحليل.

تصف كلتا المؤسستين ملفي الحمولة نفسيهما وأساليب إساءة استخدام xp_cmdshell نفسها. وتضيف Crypto.news أن عينة RAT لم تتصل قط بخادم أوامر؛ بينما تذكر PANews، نقلًا عن Crypto Briefing، بوضوح أن الحملة لم تُنسب إلى جهة فاعلة بعينها — وهي نقطة تشير إليها Crypto.news بذكر أن المنشور لم يحدد هوية المهاجمين.

لماذا يهم الأمر

لا تزال قواعد البيانات المكشوفة من أرخص الطرق التي تتيح للمهاجمين الحصول على قدرة معالجة، وتبيّن هذه الحملة كيف يمكن للخادم نفسه أن يؤدي غرضين في آن واحد: تحقيق عائد من التعدين بهدوء، وإنشاء موطئ قدم دائم لسرقة البيانات. ويكشف اسم الحمولة الأمر — فلا يوجد سبب طبيعي لوجود برنامج يحمل اسم محدّث Edge على خادم قاعدة بيانات.

هذا النمط مألوف. ففي يوليو 2024، استخدم المهاجمون خوادم مشاركة ملفات معرضة للثغرات لنشر برمجيات تعدين Monero وبرمجيات خبيثة للوصول عن بُعد. ووثّقت AhnLab تثبيت XMRig وXenoRAT وGh0stRAT على خادم Rejetto HTTP File Server، إلى جانب أربعة مهاجمين على الأقل، من بينهم مجموعة LemonDuck. وفي أغسطس 2026، أصدرت Apple تصحيحًا لثغرة في macOS بعد استغلال ميزة مشاركة الشاشة لتثبيت برمجيات تعدين Monero، وأكد المركز الوطني للأمن السيبراني في هولندا وقوع اختراقات في أنظمة متعددة ضمن تنبيه صدر في 12 أغسطس. كما وزّعت عملية احتيال بالتوظيف رصدتها CrowdStrike في يناير 2025 برنامج XMRig عبر تنزيل مزيف لطلب وظيفة. وتنتهي كل حالة بالنتيجة نفسها بالنسبة إلى الجهاز المضيف: فاتورة كهرباء يتحملها غير المهاجمين وسيطرة تقع في أيدي غيرهم.

ما الذي ينبغي مراقبته

لم تنشر FortiGuard Labs عددًا للضحايا ولم تسمِّ الجهات المشغّلة، لذا ستكون المعلومة المهمة التالية هي ما إذا كانت شركات أمنية أخرى ستؤكد الحملة وتحدد عددًا لضحاياها. وفي هذه الأثناء، تظل توصية Microsoft بإبقاء xp_cmdshell معطّلة ما لم تتطلبها مهمة محددة الإجراء العملي المناسب لمسؤولي قواعد البيانات.

لمحة عن السوق

تم تداول Monero (XMR) بسعر 535 دولارًا (50,435 روبية هندية) في 14 نوفمبر 2026، بارتفاع 0.3% خلال 24 ساعة، لكنه انخفض 12.6% خلال سبعة أيام، مع قيمة سوقية تبلغ 10.08 مليارات دولار وحجم تداول خلال 24 ساعة قدره 115.5 مليون دولار، وفقًا لبيانات CoinPaprika المؤرخة عند 12:38 بالتوقيت العالمي المنسق. وبلغ سعر Bitcoin 67,196 دولارًا (6,334,264 روبية هندية)، منخفضًا 2.9% خلال اليوم و11.4% خلال الأسبوع. هذه أرقام سوقية وليست توقعات، والأسواق متقلبة وغير مؤكدة؛ ولا تُعد هذه نصيحة مالية.

تعتمد الجدوى الاقتصادية للحملة على التعدين بهدوء على أجهزة لا يملكها المشغّلون، ولهذا يكتشفها مسؤولو الخوادم عادةً عند ملاحظة ارتفاع استخدام وحدة المعالجة المركزية، لا من خلال سلسلة الكتل نفسها. ويترك تقرير FortiGuard، الذي نُشر بعد خمسة أسابيع من رصد النشاط لأول مرة، حجم العملية سؤالًا مفتوحًا في الوقت الراهن.

الأسئلة الشائعة

كيف يخترق المهاجمون خوادم SQL؟

وفقًا لـFortiGuard Labs، تفحص الأدوات قواعد البيانات المكشوفة وتحاول تسجيل الدخول باستخدام بيانات اعتماد محددة مسبقًا، عبر قائمة كلمات مرور تضم أكثر من 2,700 إدخال مقترنة بأسماء مستخدمين مثل sa وadmin.

بماذا تتخفى برمجية تعدين Monero؟

يُسمّى ملف حمولة التعدين MicrosoftEdgeUpdate.exe، ويستخدم وحدة المعالجة المركزية للخادم لتعدين Monero عبر XMRig، مع عنوان محفظة وثلاثة عناوين لمجمّعات تعدين في إعداداته.

كيف تحافظ البرمجية الخبيثة على بقائها في جهاز مصاب؟

يصف التقرير إدخالات السجل وخدمة Windows والمهام المجدولة بأنها آليات للاستمرارية، إذ تعمل المهمة المجدولة الخاصة ببرمجية RAT كل 30 دقيقة.

هل تم تأكيد عدد الضحايا؟

لا. لم تحدد FortiGuard Labs عددًا مؤكدًا للضحايا، ولم تنسب الحملة إلى جهة فاعلة بعينها، وفقًا لـPANews.

نُشر هذا المقال بعنوان «العثور على برمجية تعدين Monero وGh0st RAT على خوادم SQL مكشوفة» لأول مرة على BitcoinWorld.