BitcoinWorld
Minerador de Monero e Gh0st RAT encontrados em servidores SQL expostos
A FortiGuard Labs associou uma campanha de cryptojacking e acesso remoto a servidores Microsoft SQL expostos à internet. A operação foi detalhada em um relatório de 12 de novembro do pesquisador Xiaopeng Zhang, após a descoberta da atividade no início de outubro de 2026, informou o Crypto.news em 14 de novembro. Segundo o relatório, os invasores instalam um minerador de Monero e uma variante do Gh0st RAT nas máquinas comprometidas.
A FortiGuard Labs afirmou que os invasores usaram senhas fracas do SQL Server para instalar um minerador de Monero disfarçado de MicrosoftEdgeUpdate.exe e uma variante do Gh0st RAT. A atividade foi descoberta no início de outubro de 2026 e não foi associada a nenhum grupo identificado nem a uma quantidade confirmada de vítimas. Principais fatos
A FortiGuard Labs publicou as descobertas em 12 de novembro de 2026, em um relatório do pesquisador Xiaopeng Zhang, após detectar a atividade no início de outubro de 2026.
As ferramentas de ataque tentam credenciais predefinidas em bancos de dados expostos, usando uma lista com mais de 2.700 senhas e nomes de usuário como “sa” e “admin”.
Após obter acesso, os atacantes ativam o xp_cmdshell e executam um programa de download que busca o minerador de Monero e o Gh0st RAT em um servidor controlado pelos atacantes.
O payload de mineração se chama MicrosoftEdgeUpdate.exe e minera Monero por meio do XMRig, usando a CPU do servidor.
A PANews, citando a cobertura da Crypto Briefing sobre a mesma divulgação da FortiGuard, informou que a campanha está ativa pelo menos desde o início de outubro de 2026.
Como a invasão acontece
O ponto de entrada é o próprio login no banco de dados. As ferramentas procuram servidores SQL acessíveis pela internet e tentam fazer login usando uma lista predefinida, combinando senhas com nomes de usuário que parecem administrativos. Depois de entrar, os atacantes ativam o xp_cmdshell, recurso do SQL Server que abre um shell de comandos do Windows a partir do mecanismo do banco de dados.
A documentação da Microsoft informa que o xp_cmdshell vem desativado em novas instalações do SQL Server e deve permanecer desativado na maioria dos casos. Alguns aplicativos mais antigos ainda dependem dele, mas a empresa recomenda ativá-lo apenas enquanto uma tarefa necessária estiver em execução. Os comandos emitidos por meio desse recurso herdam as permissões de segurança da conta de serviço do SQL Server, e a Microsoft recomenda restringir o acesso a usuários com privilégios elevados ou usar uma conta proxy com menos privilégios quando usuários não administradores precisarem desse recurso. A empresa também alerta que ativar ou usar o xp_cmdshell pode acionar ferramentas de auditoria.
A partir desse shell, um programa de download busca dois payloads em um servidor controlado pelos atacantes:
MicrosoftEdgeUpdate.exe — o componente de mineração, que usa a CPU da máquina para minerar Monero por meio do XMRig. Sua configuração contém um endereço de carteira e três endereços de pools de mineração.
winlogon.exe — uma variante do Gh0st RAT com funções de registro de teclas digitadas, gerenciamento de arquivos e execução remota de comandos. A captura de tela e a área de trabalho remota são fornecidas por meio de plugins que não estavam presentes na amostra analisada.
A persistência é garantida por entradas no Registro, um serviço do Windows e tarefas agendadas. De acordo com a análise de Zhang, a tarefa agendada do RAT é executada a cada 30 minutos. Os pesquisadores examinaram o RAT sem se conectar a um servidor de comando ativo, pois essa infraestrutura já havia sido desativada antes da análise.
Os dois veículos descrevem os mesmos dois payloads e o mesmo vetor de abuso do xp_cmdshell. A Crypto.news acrescenta que a amostra do RAT nunca foi conectada a um servidor de comando; a PANews, citando a Crypto Briefing, afirma claramente que a campanha não foi atribuída a um agente específico — um ponto que a Crypto.news destaca ao observar que a publicação não identifica os atacantes.
Por que isso importa
Bancos de dados expostos continuam sendo uma das formas mais baratas de os atacantes obterem poder de processamento, e esta campanha mostra que o mesmo servidor pode servir a dois propósitos ao mesmo tempo: gerar receita de mineração sem chamar atenção e manter um ponto de acesso persistente para roubar dados. O nome do payload é a pista — um programa identificado como atualizador do Edge em um servidor de banco de dados não tem motivo legítimo para estar ali.
O padrão é conhecido. Em julho de 2024, atacantes usaram servidores vulneráveis de compartilhamento de arquivos para disseminar mineradores de Monero e malware de acesso remoto. A AhnLab documentou instalações de XMRig, XenoRAT e Gh0stRAT no Rejetto HTTP File Server e pelo menos quatro grupos de atacantes, incluindo o grupo LemonDuck. Em agosto de 2026, a Apple corrigiu uma falha do macOS após a exploração do Compartilhamento de Tela para instalar mineradores de Monero, e o Centro Nacional de Segurança Cibernética dos Países Baixos confirmou invasões em vários sistemas em um comunicado de 12 de agosto. Um golpe de recrutamento da CrowdStrike, em janeiro de 2025, também distribuiu o XMRig por meio de um falso download de candidatura a emprego. Em todos os casos, o resultado para o host é o mesmo: a conta de luz de outra pessoa e o controle nas mãos de outra pessoa.
O que observar
A FortiGuard Labs não divulgou o número de vítimas nem identificou os responsáveis, então o próximo dado relevante será saber se outras empresas de segurança corroboram a campanha e apresentam um número. Enquanto isso, a recomendação da Microsoft de manter o xp_cmdshell desativado, a menos que uma tarefa específica exija seu uso, continua sendo a medida prática para administradores de bancos de dados.
Panorama do mercado
O Monero (XMR) era negociado a US$ 535 (₹50,435) em 14 de novembro de 2026, com alta de 0,3% em 24 horas, mas queda de 12,6% em sete dias. Sua capitalização de mercado era de US$ 10,08 bilhões e o volume em 24 horas, de US$ 115,5 milhões, segundo dados da CoinPaprika registrados às 12:38 UTC. O Bitcoin estava cotado a US$ 67.196 (₹6.334.264), com queda de 2,9% no dia e 11,4% na semana. Esses valores são dados de mercado, não uma previsão, e o mercado é volátil e incerto; isto não é aconselhamento financeiro.
A rentabilidade da campanha depende de minerar discretamente em máquinas que não pertencem aos operadores. Por isso, a detecção costuma ocorrer quando administradores de servidores percebem o uso elevado da CPU, e não por meio da própria blockchain. O relatório da FortiGuard, publicado cinco semanas após a primeira detecção da atividade, deixa em aberto, por enquanto, o tamanho da operação.
Perguntas frequentes
Como os atacantes invadem os servidores SQL?
De acordo com a FortiGuard Labs, as ferramentas procuram bancos de dados expostos e tentam credenciais predefinidas, usando uma lista com mais de 2.700 senhas combinadas com nomes de usuário como sa e admin.
De que se disfarça o minerador de Monero?
O payload de mineração se chama MicrosoftEdgeUpdate.exe e usa a CPU do servidor para minerar Monero por meio do XMRig. Sua configuração contém um endereço de carteira e três endereços de pools de mineração.
Como o malware permanece em uma máquina infectada?
O relatório descreve entradas no Registro, um serviço do Windows e tarefas agendadas como mecanismos de persistência. A tarefa agendada do RAT é executada a cada 30 minutos.
O número de vítimas foi confirmado?
Não. De acordo com a PANews, a FortiGuard Labs não divulgou um número confirmado de vítimas nem atribuiu a campanha a um agente específico.
Esta publicação sobre um minerador de Monero e o Gh0st RAT encontrados em servidores SQL expostos apareceu primeiro no BitcoinWorld.