BitcoinWorld公開状態のSQL ServerでMoneroマイナーとGh0st RATを発見

Crypto.newsが11月14日に報じたところによると、FortiGuard Labsは、インターネットに公開されたMicrosoft SQL Serverを標的とするクリプトジャッキングおよびリモートアクセス攻撃キャンペーンを確認しました。同社の研究者であるXiaopeng Zhang氏は、2026年10月初旬にこの活動を発見した後、11月12日の報告書でその手口を詳述しました。報告書によると、攻撃者は侵害したマシンにMoneroマイナーとGh0st RATの亜種を仕込みます。

FortiGuard Labsによると、攻撃者は脆弱なSQL Serverのパスワードを使い、MicrosoftEdgeUpdate.exeを装ったMoneroマイナーとGh0st RATの亜種をインストールしました。この活動は2026年10月初旬に発見されましたが、特定のグループや確認済みの被害者数とは結び付けられていません。主な事実

• FortiGuard Labsは、2026年10月上旬にこの活動を発見した後、研究者のXiaopeng Zhang氏によるレポートで、2026年11月12日に調査結果を公表しました。

• 攻撃ツールは、公開状態のデータベースに対してあらかじめ用意されたログイン情報を試します。2,700件を超えるパスワードリストを使用し、「sa」や「admin」などのユーザー名を使います。

• アクセスを得ると、攻撃者はxp_cmdshellを有効にし、攻撃者が管理するサーバーからMoneroマイナーとGh0st RATをダウンロードするプログラムを実行します。

• マイニングペイロードはMicrosoftEdgeUpdate.exeという名前で、XMRigを通じてサーバーのCPUを使いMoneroをマイニングします。

• 同じFortiGuardの情報開示に関するCrypto Briefingの報道を引用し、PANewsは、このキャンペーンが少なくとも2026年10月上旬から活動していると報じました。

侵入の流れ

侵入経路はデータベースのログインそのものです。ツールはインターネットからアクセス可能なSQL Serverを探し、管理者らしいユーザー名とパスワードを組み合わせた、あらかじめ用意されたリストでログインを試みます。侵入後、攻撃者はxp_cmdshellを有効にします。これは、データベースエンジン内からWindowsのコマンドシェルを開くSQL Serverの機能です。

Microsoftのドキュメントによると、新規のSQL Serverインストールではxp_cmdshellは無効になっており、ほとんどの場合は無効のままにすべきです。一部の古いアプリケーションは依然としてこの機能に依存していますが、Microsoftは必要なタスクの実行中に限って有効にすることを推奨しています。この機能を通じて実行されるコマンドは、SQL Serverサービスアカウントのセキュリティ権限を引き継ぎます。Microsoftは、アクセスを高度な権限を持つユーザーに制限するか、管理者以外のユーザーが必要とする場合は権限の低いプロキシアカウントを使うよう助言しています。また、xp_cmdshellを有効化または使用すると、監査ツールが警告を発する可能性があるとも注意を促しています。

このシェルから、ダウンローダーが攻撃者の管理するサーバーから2つのペイロードを取得します。

• MicrosoftEdgeUpdate.exe — マイニングコンポーネント。XMRigを通じてマシンのCPUを使いMoneroをマイニングします。設定にはウォレットアドレスと3つのマイニングプールのアドレスが含まれています。

• winlogon.exe — キーロギング、ファイル管理、リモートコマンド機能を備えたGh0st RATの亜種です。画面キャプチャとリモートデスクトップ機能はプラグインで提供されますが、分析対象のサンプルには含まれていませんでした。

永続化にはレジストリエントリ、Windowsサービス、スケジュールされたタスクが使われます。Zhang氏の分析によると、RATのスケジュールされたタスクは30分ごとに実行されます。研究者らは、分析前にそのインフラがすでに停止されていたため、稼働中のコマンドサーバーに接続せずにRATを調査しました。

両メディアは、同じ2つのペイロードと同じxp_cmdshellの悪用手口について報じています。Crypto.newsは、RATのサンプルがコマンドサーバーに一度も接続されなかったという詳細を付け加えています。PANewsはCrypto Briefingを引用し、このキャンペーンが特定の攻撃者に帰属されていないと明言しています。Crypto.newsも、同誌が攻撃者を特定していないと指摘することで、同じ点を伝えています。

重要な理由

公開状態のデータベースは、攻撃者が処理能力を手に入れる最も安価な手段の一つです。このキャンペーンは、同じサーバーがひそかなマイニング収益と、データ窃取のための永続的な足掛かりという2つの目的に同時に使われることを示しています。ペイロードの名前が手掛かりです。データベースサーバー上にあるEdgeアップデーターを名乗るプログラムには、通常そこに存在する理由がありません。

よく見られる手口です。2024年7月、攻撃者は脆弱なファイル共有サーバーを利用してMoneroマイナーとリモートアクセス型マルウェアを拡散しました。AhnLabは、Rejetto HTTP File ServerへのXMRig、XenoRAT、Gh0stRATのインストールと、LemonDuckグループを含む少なくとも4組の攻撃者を記録しています。2026年8月には、Screen Sharingを悪用してMoneroマイナーをインストールするmacOSの脆弱性をAppleが修正し、オランダの国家サイバーセキュリティセンターは8月12日の勧告で複数システムへの侵入を確認しました。また、2025年1月には、CrowdStrikeを装った採用詐欺によって、偽の求人応募用ダウンロードを通じてXMRigが配布されました。いずれの場合も、ホスト側に残る結果は同じです。他人の電気代と、他人によるシステムの支配です。

今後の注目点

FortiGuard Labsは被害者数を公表しておらず、攻撃者も特定していません。そのため、次に重要な情報となるのは、他のセキュリティ企業がこのキャンペーンを裏付け、被害者数を示すかどうかです。それまでの間、特定のタスクで必要とされない限りxp_cmdshellを無効にしておくというMicrosoftの推奨が、データベース管理者にとって実践的な対策となります。

市場の概況

CoinPaprikaのデータによると、2026年11月14日12:38 UTC時点で、Monero（XMR）は535ドル（₹50,435）で取引され、24時間で0.3%上昇した一方、7日間では12.6%下落しました。時価総額は100.8億ドル、24時間の取引高は1億1,550万ドルでした。Bitcoinは67,196ドル（₹6,334,264）で、当日2.9%、週間で11.4%下落しました。これらは市場データであり、予測ではありません。市場は変動が激しく不確実なため、これは投資助言ではありません。

このキャンペーンの収益性は、攻撃者が所有していないホスト上で気づかれずにマイニングできるかどうかにかかっています。そのため、通常はブロックチェーンそのものではなく、サーバー管理者がCPU負荷の上昇に気づくことで検出されます。活動が最初に確認されてから5週間後に公表されたFortiGuardのレポートでも、現時点では攻撃の規模は未解明のままです。

よくある質問

攻撃者はどのようにSQL Serverに侵入しますか？

FortiGuard Labsによると、ツールは公開状態のデータベースをスキャンして、あらかじめ用意されたログイン情報を試します。2,700件を超えるパスワードリストを、「sa」や「admin」などのユーザー名と組み合わせて使用します。

Moneroマイナーは何に偽装していますか？

マイニングペイロードはMicrosoftEdgeUpdate.exeという名前で、XMRigを通じてサーバーのCPUを使いMoneroをマイニングします。設定にはウォレットアドレスと3つのマイニングプールのアドレスが含まれています。

マルウェアは感染したマシンにどのように居座りますか？

レポートによると、レジストリエントリ、Windowsサービス、スケジュールされたタスクが永続化の仕組みとして使われています。RATのスケジュールされたタスクは30分ごとに実行されます。

被害者数は確認されていますか？

いいえ。PANewsによると、FortiGuard Labsは確認済みの被害者数を公表しておらず、特定の攻撃者にもキャンペーンを帰属させていません。

「公開状態のSQL ServerでMoneroマイナーとGh0st RATが発見される」という投稿は、BitcoinWorldに最初に掲載されました。