BitcoinWorld
Se encontraron un minero de Monero y Gh0st RAT en servidores SQL expuestos
FortiGuard Labs ha vinculado una campaña de criptojacking y acceso remoto con servidores Microsoft SQL expuestos a Internet. El investigador Xiaopeng Zhang detalló la operación en un informe del 12 de noviembre, tras detectar la actividad a principios de octubre de 2026, según informó Crypto.news el 14 de noviembre. Según el informe, los atacantes instalan un minero de Monero y una variante de Gh0st RAT en las máquinas comprometidas.
FortiGuard Labs afirmó que los atacantes utilizaron contraseñas débiles de SQL Server para instalar un minero de Monero camuflado como MicrosoftEdgeUpdate.exe y una variante de Gh0st RAT. La actividad se descubrió a principios de octubre de 2026 y no se ha vinculado a ningún grupo identificado ni a un número confirmado de víctimas. Datos clave
FortiGuard Labs publicó los hallazgos el 12 de noviembre de 2026 en un informe del investigador Xiaopeng Zhang, tras descubrir la actividad a principios de octubre de 2026.
Las herramientas de ataque prueban credenciales predefinidas contra bases de datos expuestas, utilizando una lista de más de 2.700 contraseñas y nombres de usuario como «sa» y «admin».
Tras obtener acceso, los atacantes habilitan xp_cmdshell y ejecutan un programa de descarga que obtiene el minero de Monero y Gh0st RAT desde un servidor controlado por los atacantes.
La carga útil de minería se llama MicrosoftEdgeUpdate.exe y mina Monero mediante XMRig, utilizando la CPU del servidor.
PANews, citando la cobertura de Crypto Briefing sobre la misma divulgación de FortiGuard, informó que la campaña ha estado activa al menos desde principios de octubre de 2026.
Cómo se desarrolla la intrusión
El punto de entrada es el propio inicio de sesión en la base de datos. Las herramientas buscan servidores SQL accesibles desde internet e intentan iniciar sesión con una lista predefinida de credenciales, combinando contraseñas con nombres de usuario que parecen administrativos. Una vez dentro, los atacantes activan xp_cmdshell, la función de SQL Server que abre un shell de comandos de Windows desde el motor de la base de datos.
La documentación de Microsoft indica que xp_cmdshell está deshabilitado en las nuevas instalaciones de SQL Server y que, en la mayoría de los casos, debería permanecer así. Algunas aplicaciones antiguas todavía dependen de esta función, pero la empresa recomienda activarla solo mientras se ejecuta una tarea que la requiera. Los comandos emitidos mediante esta función heredan los permisos de seguridad de la cuenta de servicio de SQL Server, y Microsoft recomienda restringir el acceso a usuarios con privilegios elevados o usar una cuenta proxy con menos privilegios cuando la necesiten usuarios que no sean administradores. La empresa también advierte que habilitar o usar xp_cmdshell puede activar herramientas de auditoría.
Desde ese shell, un programa de descarga obtiene dos cargas útiles de un servidor controlado por los atacantes:
MicrosoftEdgeUpdate.exe: el componente de minería, que utiliza la CPU de la máquina para minar Monero mediante XMRig. Su configuración contiene una dirección de billetera y tres direcciones de pools de minería.
winlogon.exe: una variante de Gh0st RAT con funciones de registro de pulsaciones, gestión de archivos y ejecución remota de comandos. La captura de pantalla y el escritorio remoto se proporcionan mediante complementos que no estaban presentes en la muestra analizada.
La persistencia se consigue mediante entradas del registro, un servicio de Windows y tareas programadas. Según el análisis de Zhang, la tarea programada del RAT se ejecuta cada 30 minutos. Los investigadores examinaron el RAT sin conectarse a un servidor de comandos activo, ya que esa infraestructura se había desconectado antes del análisis.
Ambos medios describen las mismas dos cargas útiles y el mismo vector de abuso de xp_cmdshell. Crypto.news añade que la muestra del RAT nunca se conectó a un servidor de comandos; PANews, citando a Crypto Briefing, afirma claramente que la campaña no se ha atribuido a un actor específico, un punto que Crypto.news señala al indicar que la publicación no identifica a los atacantes.
Por qué es importante
Las bases de datos expuestas siguen siendo una de las formas más baratas para que los atacantes consigan potencia de procesamiento, y esta campaña demuestra que un mismo servidor puede cumplir dos propósitos a la vez: generar ingresos mediante minería discreta y mantener un punto de acceso para robar datos. El nombre de la carga útil lo delata: un programa etiquetado como actualizador de Edge no tiene ningún motivo legítimo para estar en un servidor de bases de datos.
El patrón es conocido. En julio de 2024, los atacantes utilizaron servidores vulnerables para compartir archivos y propagar mineros de Monero y malware de acceso remoto. AhnLab documentó instalaciones de XMRig, XenoRAT y Gh0stRAT en Rejetto HTTP File Server y al menos cuatro atacantes, incluido el grupo LemonDuck. En agosto de 2026, Apple corrigió una vulnerabilidad de macOS después de que se explotara la función Compartir pantalla para instalar mineros de Monero, y el Centro Nacional de Ciberseguridad de los Países Bajos confirmó intrusiones en varios sistemas en una alerta del 12 de agosto. Una estafa de reclutamiento de CrowdStrike en enero de 2025 también distribuyó XMRig mediante una descarga falsa de una solicitud de empleo. En todos los casos, el resultado para el equipo afectado es el mismo: pagar la factura eléctrica de otro y quedar bajo el control de otra persona.
Qué conviene tener en cuenta
FortiGuard Labs no ha publicado un recuento de víctimas ni identificado a los responsables, así que el próximo dato relevante será saber si otras empresas de seguridad corroboran la campaña y le asignan una cifra. Mientras tanto, la recomendación de Microsoft de mantener xp_cmdshell deshabilitado salvo que una tarea específica lo requiera sigue siendo la medida práctica para los administradores de bases de datos.
Panorama del mercado
Monero (XMR) cotizaba a 535 $ (50.435 ₹) el 14 de noviembre de 2026, con una subida del 0,3 % en 24 horas, pero una caída del 12,6 % en siete días. Su capitalización de mercado era de 10.080 millones de dólares y el volumen en 24 horas, de 115,5 millones de dólares, según datos de CoinPaprika con marca de tiempo de las 12:38 UTC. Bitcoin se situaba en 67.196 $ (6.334.264 ₹), con una caída del 2,9 % en el día y del 11,4 % en la semana. Estas cifras son datos del mercado, no una previsión, y el mercado es volátil e incierto; esto no constituye asesoramiento financiero.
La rentabilidad de la campaña depende de minar discretamente en equipos que no pertenecen a los operadores. Por eso, la detección suele producirse cuando los administradores de servidores observan un uso elevado de la CPU, y no por la propia cadena de bloques. El informe de FortiGuard, publicado cinco semanas después de que se detectara la actividad por primera vez, deja por ahora sin respuesta la pregunta sobre la magnitud de la operación.
Preguntas frecuentes
¿Cómo acceden los atacantes a los servidores SQL?
Según FortiGuard Labs, las herramientas buscan bases de datos expuestas e intentan iniciar sesión con credenciales predefinidas, utilizando una lista de más de 2.700 contraseñas combinadas con nombres de usuario como sa y admin.
¿En qué se hace pasar el minero de Monero?
La carga útil de minería se llama MicrosoftEdgeUpdate.exe y utiliza la CPU del servidor para minar Monero mediante XMRig. Su configuración incluye una dirección de billetera y tres direcciones de pools de minería.
¿Cómo permanece el malware en una máquina infectada?
El informe describe entradas del registro, un servicio de Windows y tareas programadas como mecanismos de persistencia. La tarea programada del RAT se ejecuta cada 30 minutos.
¿Se ha confirmado el número de víctimas?
No. FortiGuard Labs no proporcionó un recuento confirmado de víctimas ni atribuyó la campaña a un actor específico, según PANews.
Esta publicación sobre un minero de Monero y Gh0st RAT detectados en servidores SQL expuestos apareció primero en BitcoinWorld.