BitcoinWorldНа открытых SQL-серверах обнаружены майнер Monero и Gh0st RAT

FortiGuard Labs связала кампанию по криптоджекингу и удалённому доступу с общедоступными в интернете серверами Microsoft SQL Server. Операция описана в отчёте исследователя Сяопэна Чжана от 12 ноября: активность обнаружили в начале октября 2026 года, сообщает Crypto.news 14 ноября. Согласно отчёту, злоумышленники устанавливают майнер Monero и вариант Gh0st RAT на скомпрометированные компьютеры.

В FortiGuard Labs сообщили, что злоумышленники использовали слабые пароли SQL Server, чтобы установить майнер Monero, замаскированный под MicrosoftEdgeUpdate.exe, и вариант Gh0st RAT. Активность обнаружили в начале октября 2026 года; её не связывают ни с одной известной группировкой, а число подтверждённых жертв неизвестно. Основные факты

• FortiGuard Labs опубликовала результаты исследования 12 ноября 2026 года в отчёте исследователя Сяопэна Чжана после обнаружения этой активности в начале октября 2026 года.

• Инструменты атакующих проверяют доступные из интернета базы данных, используя список из более чем 2 700 паролей и такие имена пользователей, как «sa» и «admin».

• Получив доступ, атакующие включают xp_cmdshell и запускают загрузчик, который скачивает майнер Monero и Gh0st RAT с контролируемого злоумышленниками сервера.

• Майнинговый модуль называется MicrosoftEdgeUpdate.exe и использует процессор сервера для майнинга Monero через XMRig.

• PANews, ссылаясь на материал Crypto Briefing о том же раскрытии FortiGuard, сообщил, что кампания активна как минимум с начала октября 2026 года.

Как развивается атака

Точка входа — непосредственно вход в базу данных. Инструменты ищут SQL-серверы, доступные из интернета, и пытаются войти, перебирая заранее заданный список паролей и имён пользователей, похожих на учётные записи администраторов. Оказавшись внутри, атакующие включают xp_cmdshell — функцию SQL Server, которая позволяет открыть командную оболочку Windows из движка базы данных.

Согласно документации Microsoft, xp_cmdshell по умолчанию отключён в новых установках SQL Server и в большинстве случаев должен оставаться выключенным. Некоторые старые приложения всё ещё зависят от него, однако компания рекомендует включать его только на время выполнения необходимой задачи. Команды, запущенные с помощью этой функции, наследуют разрешения учётной записи службы SQL Server. Microsoft советует ограничивать доступ к ней пользователями с высокими привилегиями или использовать менее привилегированную прокси-учётную запись, если функция нужна пользователям без прав администратора. Компания также предупреждает, что включение или использование xp_cmdshell может вызвать срабатывание средств аудита.

Из этой оболочки загрузчик скачивает с контролируемого злоумышленниками сервера два модуля:

• MicrosoftEdgeUpdate.exe — компонент для майнинга, который использует процессор компьютера для майнинга Monero через XMRig. В его конфигурации содержатся адрес кошелька и адреса трёх майнинг-пулов.

• winlogon.exe — вариант Gh0st RAT с функциями перехвата нажатий клавиш, управления файлами и удалённого выполнения команд. Захват экрана и удалённый рабочий стол реализованы с помощью плагинов, которых не было в исследованном образце.

Закрепление обеспечивается записями реестра, службой Windows и запланированными задачами. Согласно анализу Чжана, запланированная задача RAT запускается каждые 30 минут. Исследователи изучали RAT, не подключаясь к действующему серверу управления, поскольку к моменту анализа эта инфраструктура уже была отключена.

Оба издания описывают одни и те же два модуля и один и тот же способ злоупотребления xp_cmdshell. Crypto.news добавляет, что образец RAT так и не подключался к серверу управления; PANews, ссылаясь на Crypto Briefing, прямо сообщает, что кампанию не связали с конкретным злоумышленником. Crypto.news отмечает то же самое, указывая, что в публикации не названы атакующие.

Почему это важно

Доступные из интернета базы данных остаются одним из самых простых способов для атакующих получить вычислительные мощности. Эта кампания показывает, что один и тот же сервер может одновременно служить двум целям: приносить незаметный доход от майнинга и обеспечивать постоянное присутствие для кражи данных. Название модуля выдаёт его — программе, обозначенной как средство обновления Edge, на сервере баз данных делать нечего.

Подобные схемы уже встречались. В июле 2024 года атакующие использовали уязвимые серверы обмена файлами для распространения майнеров Monero и вредоносных программ удалённого доступа. AhnLab задокументировала установку XMRig, XenoRAT и Gh0stRAT на Rejetto HTTP File Server, а также действия как минимум четырёх групп атакующих, включая группу LemonDuck. В августе 2026 года Apple выпустила исправление для уязвимости macOS после того, как функцию «Общий экран» использовали для установки майнеров Monero. Национальный центр кибербезопасности Нидерландов подтвердил проникновения в несколько систем в предупреждении от 12 августа. А в январе 2025 года мошенническая схема с фиктивным набором сотрудников, о которой сообщила CrowdStrike, распространяла XMRig через поддельную загрузку анкеты кандидата. Во всех случаях итог для владельца системы одинаков: кто-то другой оплачивает электричество и получает контроль.

На что обратить внимание

FortiGuard Labs не опубликовала число жертв и не назвала операторов кампании, поэтому следующим важным показателем станет подтверждение этой кампании другими компаниями по кибербезопасности и оценка её масштаба. Пока практической мерой для администраторов баз данных остаётся рекомендация Microsoft держать xp_cmdshell отключённым, если в нём нет необходимости для конкретной задачи.

Обзор рынка

14 ноября 2026 года Monero (XMR) торговался по цене $535 (₹50 435), прибавив 0,3% за 24 часа, но потеряв 12,6% за семь дней. Рыночная капитализация составляла $10,08 млрд, а объём торгов за 24 часа — $115,5 млн, согласно данным CoinPaprika по состоянию на 12:38 UTC. Bitcoin стоил $67 196 (₹6 334 264), снизившись на 2,9% за день и на 11,4% за неделю. Эти цифры отражают данные рынка, а не прогноз; рынок волатилен и непредсказуем. Это не финансовая рекомендация.

Экономическая модель кампании основана на незаметном майнинге на чужих устройствах. Поэтому заражение обычно обнаруживают системные администраторы, заметив высокую загрузку процессора, а не по данным блокчейна. В отчёте FortiGuard, опубликованном через пять недель после первого обнаружения активности, масштаб операции пока остаётся неизвестным.

Часто задаваемые вопросы

Как атакующие проникают на SQL-серверы?

По данным FortiGuard Labs, инструменты сканируют доступные из интернета базы данных и перебирают заранее заданные учётные данные, используя список более чем из 2 700 паролей в сочетании с такими именами пользователей, как sa и admin.

Под что маскируется майнер Monero?

Майнинговый модуль называется MicrosoftEdgeUpdate.exe и использует процессор сервера для майнинга Monero через XMRig. В его конфигурации указаны адрес кошелька и адреса трёх майнинг-пулов.

Как вредоносная программа закрепляется на заражённом компьютере?

В отчёте в качестве механизмов закрепления описаны записи реестра, служба Windows и запланированные задачи. Запланированная задача RAT запускается каждые 30 минут.

Подтверждено ли число жертв?

Нет. По данным PANews, FortiGuard Labs не сообщила подтверждённое число жертв и не связала кампанию с конкретным злоумышленником.

Эта публикация о майнере Monero и Gh0st RAT, обнаруженных на доступных из интернета SQL-серверах, впервые появилась на BitcoinWorld.