BitcoinWorldPenambang Monero dan Gh0st RAT ditemukan di SQL Server yang terekspos

FortiGuard Labs mengaitkan kampanye cryptojacking dan akses jarak jauh dengan Microsoft SQL Server yang terhubung ke internet. Operasi tersebut diuraikan dalam laporan tanggal 12 November oleh peneliti Xiaopeng Zhang, setelah aktivitas itu ditemukan pada awal Oktober 2026, seperti dilaporkan Crypto.news pada 14 November. Menurut laporan tersebut, para penyerang memasang penambang Monero dan varian Gh0st RAT di mesin yang telah disusupi.

FortiGuard Labs mengatakan bahwa para penyerang menggunakan kata sandi SQL Server yang lemah untuk memasang penambang Monero yang menyamar sebagai MicrosoftEdgeUpdate.exe dan varian Gh0st RAT. Aktivitas tersebut ditemukan pada awal Oktober 2026 dan belum dikaitkan dengan kelompok tertentu atau jumlah korban yang terkonfirmasi. Fakta utama

• FortiGuard Labs memublikasikan temuan tersebut pada 12 November 2026 dalam laporan yang ditulis peneliti Xiaopeng Zhang, setelah aktivitas itu ditemukan pada awal Oktober 2026.

• Alat serangan mencoba login yang telah ditentukan pada basis data yang terekspos, menggunakan daftar kata sandi berisi lebih dari 2.700 entri dan nama pengguna seperti “sa” dan “admin.”

• Setelah memperoleh akses, para penyerang mengaktifkan xp_cmdshell dan menjalankan pengunduh yang mengambil penambang Monero dan Gh0st RAT dari server yang dikendalikan penyerang.

• Payload penambang diberi nama MicrosoftEdgeUpdate.exe dan menambang Monero melalui XMRig dengan menggunakan CPU server.

• PANews, dengan mengutip liputan Crypto Briefing tentang pengungkapan FortiGuard yang sama, melaporkan bahwa kampanye ini telah aktif setidaknya sejak awal Oktober 2026.

Bagaimana penyusupan berlangsung

Titik masuknya adalah login basis data itu sendiri. Perangkat tersebut mencari SQL Server yang dapat dijangkau dari internet dan mencoba login menggunakan daftar yang telah ditentukan, dengan memasangkan kata sandi dan nama pengguna yang tampak seperti akun administrator. Setelah berhasil masuk, penyerang mengaktifkan xp_cmdshell, fitur SQL Server yang membuka command shell Windows dari dalam mesin basis data.

Dokumentasi Microsoft menyatakan bahwa xp_cmdshell dinonaktifkan pada instalasi SQL Server baru dan sebaiknya tetap dinonaktifkan dalam kebanyakan kasus. Beberapa aplikasi lama masih bergantung padanya, tetapi perusahaan menyarankan untuk mengaktifkannya hanya saat tugas yang memerlukannya sedang dijalankan. Perintah yang dijalankan melalui fitur ini mewarisi izin keamanan akun layanan SQL Server, dan Microsoft menyarankan agar akses dibatasi untuk pengguna dengan hak istimewa tinggi atau menggunakan akun proksi dengan hak istimewa lebih rendah jika pengguna non-administrator memerlukannya. Perusahaan juga memperingatkan bahwa mengaktifkan atau menggunakan xp_cmdshell dapat memicu alat audit.

Dari shell tersebut, pengunduh mengambil dua payload dari server yang dikendalikan penyerang:

• MicrosoftEdgeUpdate.exe — komponen penambangan yang menggunakan CPU mesin untuk menambang Monero melalui XMRig. Konfigurasinya berisi alamat dompet dan tiga alamat pool penambangan.

• winlogon.exe — varian Gh0st RAT dengan fungsi pencatatan ketikan, pengelolaan berkas, dan perintah jarak jauh. Perekaman layar dan desktop jarak jauh disediakan melalui plugin yang tidak ditemukan dalam sampel yang dianalisis.

Persistensi dilakukan melalui entri registri, layanan Windows, dan tugas terjadwal. Menurut analisis Zhang, tugas terjadwal RAT berjalan setiap 30 menit. Para peneliti memeriksa RAT tanpa menghubungkannya ke server perintah aktif karena infrastruktur tersebut telah dinonaktifkan sebelum analisis dilakukan.

Kedua media tersebut menjelaskan dua payload yang sama dan penyalahgunaan xp_cmdshell yang sama. Crypto.news menambahkan bahwa sampel RAT tidak pernah terhubung ke server perintah; PANews, dengan mengutip Crypto Briefing, menyatakan secara lugas bahwa kampanye ini belum dikaitkan dengan aktor tertentu — hal yang disampaikan Crypto.news dengan mencatat bahwa publikasi tersebut tidak mengidentifikasi para penyerang.

Mengapa ini penting

Basis data yang terekspos tetap menjadi salah satu cara termurah bagi penyerang untuk mendapatkan daya komputasi, dan kampanye ini menunjukkan bahwa server yang sama dapat menjalankan dua fungsi sekaligus: menghasilkan pendapatan dari penambangan secara diam-diam dan menyediakan pijakan persisten untuk mencuri data. Nama payload menjadi petunjuknya — program yang diberi label sebagai pembaruan Edge di server basis data tidak punya alasan wajar untuk berada di sana.

Pola ini sudah dikenal. Pada Juli 2024, penyerang menggunakan server berbagi berkas yang rentan untuk menyebarkan penambang Monero dan malware akses jarak jauh. AhnLab mendokumentasikan pemasangan XMRig, XenoRAT, dan Gh0stRAT di Rejetto HTTP File Server oleh setidaknya empat pelaku ancaman, termasuk kelompok LemonDuck. Pada Agustus 2026, Apple menambal celah macOS setelah fitur Berbagi Layar dieksploitasi untuk memasang penambang Monero, dan Pusat Keamanan Siber Nasional Belanda mengonfirmasi penyusupan ke beberapa sistem dalam imbauan pada 12 Agustus. Penipuan perekrutan CrowdStrike pada Januari 2025 juga mengirimkan XMRig melalui unduhan lamaran kerja palsu. Dampak akhirnya bagi perangkat korban selalu sama: tagihan listrik ditanggung orang lain, sementara kendali perangkat berada di tangan orang lain.

Hal yang perlu diperhatikan

FortiGuard Labs belum memublikasikan jumlah korban atau menyebutkan operatornya. Karena itu, informasi penting berikutnya adalah apakah perusahaan keamanan lain mengonfirmasi kampanye ini dan menyebutkan jumlah korbannya. Sementara itu, panduan Microsoft untuk tetap menonaktifkan xp_cmdshell kecuali jika diperlukan untuk tugas tertentu tetap menjadi langkah praktis bagi administrator basis data.

Ikhtisar pasar

Monero (XMR) diperdagangkan pada harga $535 (₹50.435) pada 14 November 2026, naik 0,3% dalam 24 jam tetapi turun 12,6% dalam tujuh hari, dengan kapitalisasi pasar $10,08 miliar dan volume perdagangan 24 jam sebesar $115,5 juta, menurut data CoinPaprika yang diberi stempel waktu 12.38 UTC. Bitcoin berada di harga $67.196 (₹6.334.264), turun 2,9% pada hari itu dan 11,4% selama sepekan. Angka-angka ini adalah data pasar, bukan prediksi, dan pasar bersifat volatil serta tidak pasti; ini bukan nasihat keuangan.

Keuntungan ekonomi kampanye ini bergantung pada penambangan diam-diam di perangkat yang bukan milik operator. Karena itu, aktivitas ini biasanya terdeteksi saat administrator server melihat beban CPU, bukan dari blockchain itu sendiri. Laporan FortiGuard, yang diterbitkan lima minggu setelah aktivitas tersebut pertama kali diketahui, belum menjawab seberapa besar operasi ini.

Pertanyaan yang Sering Diajukan

Bagaimana penyerang masuk ke SQL Server?

Menurut FortiGuard Labs, alat tersebut memindai basis data yang terekspos dan mencoba login yang telah ditentukan, menggunakan daftar kata sandi berisi lebih dari 2.700 entri yang dipasangkan dengan nama pengguna seperti sa dan admin.

Apa yang disamarkan sebagai apa oleh penambang Monero?

Payload penambang diberi nama MicrosoftEdgeUpdate.exe dan menggunakan CPU server untuk menambang Monero melalui XMRig. Konfigurasinya berisi alamat dompet dan tiga alamat pool penambangan.

Bagaimana malware bertahan di mesin yang terinfeksi?

Laporan tersebut menjelaskan entri registri, layanan Windows, dan tugas terjadwal sebagai mekanisme persistensi. Tugas terjadwal RAT berjalan setiap 30 menit.

Apakah jumlah korban sudah dikonfirmasi?

Belum. FortiGuard Labs tidak menyebutkan jumlah korban yang terkonfirmasi dan tidak mengaitkan kampanye ini dengan aktor tertentu, menurut PANews.

Pos tentang penambang Monero dan Gh0st RAT yang ditemukan di SQL Server yang terekspos ini pertama kali terbit di BitcoinWorld.