Un mineur de Monero et Gh0st RAT découverts sur des serveurs SQL exposés

BitcoinWorldUn mineur de Monero et Gh0st RAT découverts sur des serveurs SQL exposés
FortiGuard Labs a associé une campagne de cryptojacking et d’accès à distance à des serveurs Microsoft SQL accessibles depuis Internet. L’opération a été détaillée dans un rapport publié le 12 novembre par le chercheur Xiaopeng Zhang, après la découverte de l’activité début octobre 2026, a rapporté Crypto.news le 14 novembre. Selon le rapport, les attaquants installent un mineur de Monero et une variante de Gh0st RAT sur les machines compromises.
FortiGuard Labs a indiqué que les attaquants ont exploité des mots de passe faibles de SQL Server pour installer un mineur de Monero déguisé en MicrosoftEdgeUpdate.exe ainsi qu’une variante de Gh0st RAT. L’activité a été découverte début octobre 2026 et n’a été attribuée à aucun groupe identifié ni associée à un nombre confirmé de victimes. Faits clés
FortiGuard Labs a publié ses conclusions le 12 novembre 2026 dans un rapport du chercheur Xiaopeng Zhang, après avoir découvert l’activité début octobre 2026.
Les outils d’attaque tentent des identifiants prédéfinis contre les bases de données exposées, à l’aide d’une liste de plus de 2 700 mots de passe et de noms d’utilisateur tels que « sa » et « admin ».
Après avoir obtenu l’accès, les attaquants activent xp_cmdshell et exécutent un téléchargeur qui récupère le mineur Monero et Gh0st RAT depuis un serveur contrôlé par les attaquants.
La charge utile de minage s’appelle MicrosoftEdgeUpdate.exe et mine du Monero avec XMRig en utilisant le processeur du serveur.
PANews, citant la couverture par Crypto Briefing de la même divulgation de FortiGuard, a indiqué que la campagne était active depuis au moins début octobre 2026.
Déroulement de l’intrusion
Le point d’entrée est la connexion à la base de données elle-même. Les outils recherchent les serveurs SQL accessibles depuis Internet et tentent de s’y connecter à l’aide d’une liste prédéfinie, en associant des mots de passe à des noms d’utilisateur évoquant des comptes administratifs. Une fois à l’intérieur, les attaquants activent xp_cmdshell, la fonctionnalité de SQL Server qui ouvre un interpréteur de commandes Windows depuis le moteur de base de données.
La documentation de Microsoft indique que xp_cmdshell est désactivé dans les nouvelles installations de SQL Server et qu’il devrait le rester dans la plupart des cas. Certaines anciennes applications en dépendent encore, mais l’entreprise recommande de ne l’activer que pendant l’exécution d’une tâche qui l’exige. Les commandes lancées par cette fonctionnalité héritent des autorisations de sécurité du compte de service SQL Server. Microsoft conseille de limiter son accès aux utilisateurs disposant de privilèges élevés ou, lorsque des non-administrateurs en ont besoin, d’utiliser un compte proxy moins privilégié. L’entreprise avertit également que l’activation ou l’utilisation de xp_cmdshell peut déclencher les outils d’audit.
Depuis cet interpréteur, un téléchargeur récupère deux charges utiles sur un serveur contrôlé par les attaquants :
MicrosoftEdgeUpdate.exe — le composant de minage, qui utilise le processeur de la machine pour miner du Monero avec XMRig. Sa configuration contient une adresse de portefeuille et trois adresses de pools de minage.
winlogon.exe — une variante de Gh0st RAT dotée de fonctions d’enregistrement des frappes, de gestion de fichiers et d’exécution de commandes à distance. La capture d’écran et le bureau à distance sont fournis par des extensions qui ne figuraient pas dans l’échantillon analysé.
La persistance repose sur des entrées de registre, un service Windows et des tâches planifiées. Selon l’analyse de Zhang, la tâche planifiée du RAT s’exécute toutes les 30 minutes. Les chercheurs ont examiné le RAT sans se connecter à un serveur de commande actif, car cette infrastructure avait déjà été mise hors ligne avant l’analyse.
Les deux médias décrivent les mêmes charges utiles et le même vecteur d’abus de xp_cmdshell. Crypto.news ajoute que l’échantillon du RAT n’a jamais été connecté à un serveur de commande. PANews, citant Crypto Briefing, affirme clairement que la campagne n’a pas été attribuée à un acteur précis — un point que Crypto.news souligne en notant que la publication ne désigne pas les attaquants.
Pourquoi c’est important
Les bases de données exposées restent l’un des moyens les moins coûteux pour les attaquants de s’approprier de la puissance de calcul, et cette campagne montre qu’un même serveur peut servir deux objectifs à la fois : générer discrètement des revenus de minage et offrir un point d’ancrage persistant pour voler des données. Le nom de la charge utile est révélateur : un programme présenté comme un outil de mise à jour d’Edge n’a aucune raison d’être sur un serveur de base de données.
Le schéma est connu. En juillet 2024, des attaquants ont exploité des serveurs de partage de fichiers vulnérables pour diffuser des mineurs Monero et des logiciels malveillants d’accès à distance. AhnLab a documenté l’installation de XMRig, XenoRAT et Gh0stRAT sur Rejetto HTTP File Server et recensé au moins quatre attaquants, dont le groupe LemonDuck. En août 2026, Apple a corrigé une faille de macOS après l’exploitation de la fonction de partage d’écran pour installer des mineurs Monero, et le Centre national néerlandais de cybersécurité a confirmé des intrusions sur plusieurs systèmes dans un avis publié le 12 août. Une escroquerie au recrutement de CrowdStrike en janvier 2025 distribuait également XMRig au moyen d’un faux téléchargement de candidature. Dans tous les cas, l’hôte se retrouve à payer la facture d’électricité de quelqu’un d’autre et à subir le contrôle d’un tiers.
Les points à surveiller
FortiGuard Labs n’a pas publié de nombre de victimes ni nommé les opérateurs. Le prochain élément important sera donc de savoir si d’autres entreprises de sécurité corroborent la campagne et en chiffrent l’ampleur. Dans l’intervalle, la recommandation de Microsoft de laisser xp_cmdshell désactivé, sauf si une tâche précise l’exige, reste la mesure de protection la plus pratique pour les administrateurs de bases de données.
Aperçu du marché
Le Monero (XMR) s’échangeait à 535 $ (50 435 ₹) le 14 novembre 2026, en hausse de 0,3 % sur 24 heures, mais en baisse de 12,6 % sur sept jours. Sa capitalisation boursière s’élevait à 10,08 milliards de dollars et son volume sur 24 heures à 115,5 millions de dollars, selon les données de CoinPaprika horodatées à 12:38 UTC. Le Bitcoin s’établissait à 67 196 $ (6 334 264 ₹), en baisse de 2,9 % sur la journée et de 11,4 % sur la semaine. Ces chiffres sont des données de marché et non des prévisions. Le marché est volatil et incertain ; ceci ne constitue pas un conseil financier.
La rentabilité de la campagne dépend de la capacité à miner discrètement sur des hôtes qui n’appartiennent pas aux opérateurs. C’est pourquoi les administrateurs de serveurs détectent généralement l’activité en remarquant une charge élevée du processeur, plutôt qu’en observant la blockchain elle-même. Publié cinq semaines après la première détection de l’activité, le rapport de FortiGuard laisse pour l’instant ouverte la question de l’ampleur de l’opération.
Questions fréquentes
 Comment les attaquants pénètrent-ils dans les serveurs SQL ?
Selon FortiGuard Labs, les outils recherchent les bases de données exposées et tentent des identifiants prédéfinis, à l’aide d’une liste de plus de 2 700 mots de passe associés à des noms d’utilisateur tels que sa et admin.
 En quoi le mineur Monero se fait-il passer pour ?
La charge utile de minage s’appelle MicrosoftEdgeUpdate.exe et utilise le processeur du serveur pour miner du Monero avec XMRig. Sa configuration contient une adresse de portefeuille et trois adresses de pools de minage.
 Comment le logiciel malveillant persiste-t-il sur une machine infectée ?
Le rapport décrit les entrées de registre, un service Windows et des tâches planifiées comme mécanismes de persistance. La tâche planifiée du RAT s’exécute toutes les 30 minutes.
 Le nombre de victimes a-t-il été confirmé ?
Non. FortiGuard Labs n’a pas communiqué de nombre confirmé de victimes et, selon PANews, n’a pas attribué la campagne à un acteur précis.
Cet article intitulé « Un mineur Monero et Gh0st RAT découverts sur des serveurs SQL exposés » est paru initialement sur BitcoinWorld.