BitcoinWorldPhần mềm đào Monero và Gh0st RAT được phát hiện trên các máy chủ SQL bị lộ ra Internet

FortiGuard Labs đã liên kết một chiến dịch chiếm quyền khai thác tiền mã hóa và truy cập từ xa với các máy chủ Microsoft SQL hướng ra Internet. Theo Crypto.news đưa tin ngày 14 tháng 11, chiến dịch được trình bày chi tiết trong báo cáo ngày 12 tháng 11 của nhà nghiên cứu Xiaopeng Zhang, sau khi ông phát hiện hoạt động này vào đầu tháng 10 năm 2026. Theo báo cáo, những kẻ tấn công cài phần mềm đào Monero và một biến thể Gh0st RAT lên các máy bị xâm nhập.

FortiGuard Labs cho biết những kẻ tấn công đã sử dụng mật khẩu SQL Server yếu để cài đặt một phần mềm đào Monero ngụy trang thành MicrosoftEdgeUpdate.exe và một biến thể Gh0st RAT. Hoạt động này được phát hiện vào đầu tháng 10 năm 2026 và chưa được liên kết với nhóm nào được xác định danh tính hoặc số lượng nạn nhân được xác nhận. Thông tin chính

• FortiGuard Labs công bố phát hiện này vào ngày 12 tháng 11 năm 2026 trong một báo cáo của nhà nghiên cứu Xiaopeng Zhang, sau khi phát hiện hoạt động này vào đầu tháng 10 năm 2026.

• Các công cụ tấn công thử những thông tin đăng nhập được định sẵn trên các cơ sở dữ liệu bị lộ, sử dụng danh sách hơn 2.700 mật khẩu cùng các tên người dùng như “sa” và “admin”.

• Sau khi giành được quyền truy cập, kẻ tấn công bật xp_cmdshell và chạy một chương trình tải xuống để lấy trình đào Monero cùng Gh0st RAT từ máy chủ do chúng kiểm soát.

• Payload đào tiền mã hóa có tên MicrosoftEdgeUpdate.exe và đào Monero thông qua XMRig bằng CPU của máy chủ.

• Dẫn thông tin từ bài đưa tin của Crypto Briefing về cùng công bố của FortiGuard, PANews cho biết chiến dịch đã hoạt động ít nhất từ đầu tháng 10 năm 2026.

Diễn biến của cuộc xâm nhập

Điểm xâm nhập chính là thông tin đăng nhập cơ sở dữ liệu. Công cụ tìm kiếm các máy chủ SQL có thể truy cập từ internet và thử đăng nhập bằng một danh sách định sẵn, ghép mật khẩu với những tên người dùng có vẻ mang quyền quản trị. Sau khi xâm nhập, kẻ tấn công bật xp_cmdshell, tính năng của SQL Server cho phép mở một trình dòng lệnh Windows từ bên trong bộ máy cơ sở dữ liệu.

Tài liệu của Microsoft cho biết xp_cmdshell bị tắt trong các bản cài đặt SQL Server mới và nên tiếp tục để ở trạng thái tắt trong hầu hết trường hợp. Một số ứng dụng cũ vẫn phụ thuộc vào tính năng này, nhưng công ty khuyến nghị chỉ bật tính năng khi đang chạy một tác vụ cần đến nó. Các lệnh được thực thi thông qua tính năng này kế thừa quyền bảo mật của tài khoản dịch vụ SQL Server. Microsoft khuyên nên giới hạn quyền truy cập cho người dùng có đặc quyền cao hoặc dùng một tài khoản proxy ít đặc quyền hơn khi người không phải quản trị viên cần sử dụng tính năng này. Công ty cũng cảnh báo rằng việc bật hoặc sử dụng xp_cmdshell có thể kích hoạt các công cụ kiểm tra.

Từ trình dòng lệnh đó, một chương trình tải xuống lấy hai payload từ máy chủ do kẻ tấn công kiểm soát:

• MicrosoftEdgeUpdate.exe — thành phần đào tiền mã hóa, sử dụng CPU của máy để đào Monero thông qua XMRig. Cấu hình của nó chứa một địa chỉ ví và ba địa chỉ mining pool.

• winlogon.exe — một biến thể Gh0st RAT có chức năng ghi lại thao tác bàn phím, quản lý tệp và thực thi lệnh từ xa. Các chức năng chụp màn hình và điều khiển máy tính từ xa được cung cấp qua plugin, nhưng không có trong mẫu được phân tích.

Mã độc duy trì hiện diện thông qua các mục trong registry, một dịch vụ Windows và các tác vụ đã lên lịch. Theo phân tích của Zhang, tác vụ đã lên lịch của RAT chạy 30 phút một lần. Các nhà nghiên cứu đã kiểm tra RAT mà không kết nối với máy chủ điều khiển trực tiếp, vì hạ tầng đó đã bị ngắt hoạt động trước khi quá trình phân tích diễn ra.

Cả hai trang tin đều mô tả cùng hai payload và cùng phương thức lạm dụng xp_cmdshell. Crypto.news bổ sung chi tiết rằng mẫu RAT chưa từng kết nối với máy chủ điều khiển; PANews, dẫn nguồn Crypto Briefing, nói rõ chiến dịch chưa được quy cho một tác nhân cụ thể — Crypto.news cũng nêu điều này khi cho biết bài viết không xác định kẻ tấn công.

Vì sao điều này đáng chú ý

Các cơ sở dữ liệu bị lộ vẫn là một trong những cách rẻ nhất để kẻ tấn công chiếm dụng năng lực xử lý, và chiến dịch này cho thấy cùng một máy chủ có thể đồng thời phục vụ hai mục đích: âm thầm tạo doanh thu từ việc đào tiền mã hóa và duy trì chỗ đứng để đánh cắp dữ liệu. Tên payload là dấu hiệu lộ liễu — một chương trình được đặt tên như trình cập nhật Edge trên máy chủ cơ sở dữ liệu chẳng có lý do bình thường nào để xuất hiện ở đó.

Kiểu tấn công này đã quá quen thuộc. Vào tháng 7 năm 2024, kẻ tấn công lợi dụng các máy chủ chia sẻ tệp có lỗ hổng để phát tán trình đào Monero và mã độc truy cập từ xa. AhnLab ghi nhận các trường hợp cài đặt XMRig, XenoRAT và Gh0stRAT trên Rejetto HTTP File Server, cùng ít nhất bốn nhóm tấn công, trong đó có nhóm LemonDuck. Vào tháng 8 năm 2026, Apple đã vá một lỗ hổng macOS sau khi tính năng Chia sẻ màn hình bị khai thác để cài trình đào Monero, còn Trung tâm An ninh mạng Quốc gia Hà Lan xác nhận các vụ xâm nhập trên nhiều hệ thống trong khuyến cáo ngày 12 tháng 8. Một vụ lừa đảo tuyển dụng của CrowdStrike vào tháng 1 năm 2025 cũng phát tán XMRig thông qua tệp tải xuống giả mạo hồ sơ xin việc. Với máy chủ bị xâm nhập, kết cục trong mọi trường hợp đều giống nhau: phải trả tiền điện cho người khác và nằm dưới quyền kiểm soát của người khác.

Cần theo dõi điều gì

FortiGuard Labs chưa công bố số nạn nhân hay nêu tên những kẻ điều hành, vì vậy thông tin đáng chú ý tiếp theo sẽ là liệu các công ty bảo mật khác có xác nhận chiến dịch và đưa ra con số hay không. Trong lúc chờ đợi, khuyến nghị của Microsoft là giữ xp_cmdshell ở trạng thái tắt, trừ khi có một tác vụ cụ thể yêu cầu sử dụng tính năng này — đây vẫn là biện pháp kiểm soát thiết thực dành cho quản trị viên cơ sở dữ liệu.

Tổng quan thị trường

Theo dữ liệu CoinPaprika ghi nhận lúc 12:38 UTC, Monero (XMR) được giao dịch ở mức 535 USD (50.435 ₹) vào ngày 14 tháng 11 năm 2026, tăng 0,3% trong 24 giờ nhưng giảm 12,6% trong bảy ngày. Vốn hóa thị trường đạt 10,08 tỷ USD và khối lượng giao dịch trong 24 giờ là 115,5 triệu USD. Bitcoin ở mức 67.196 USD (6.334.264 ₹), giảm 2,9% trong ngày và 11,4% trong tuần. Đây là số liệu thị trường, không phải dự báo; thị trường biến động và khó lường. Nội dung này không phải lời khuyên tài chính.

Hiệu quả kinh tế của chiến dịch phụ thuộc vào việc âm thầm đào tiền mã hóa trên những máy chủ không thuộc sở hữu của kẻ điều hành. Vì vậy, dấu hiệu thường được phát hiện là quản trị viên máy chủ nhận thấy mức sử dụng CPU tăng cao, chứ không phải từ chính blockchain. Báo cáo của FortiGuard được công bố năm tuần sau khi hoạt động này được phát hiện lần đầu, nhưng quy mô chiến dịch hiện vẫn chưa rõ.

Câu hỏi thường gặp

Kẻ tấn công xâm nhập máy chủ SQL bằng cách nào?

Theo FortiGuard Labs, các công cụ quét tìm cơ sở dữ liệu bị lộ và thử đăng nhập bằng thông tin định sẵn, sử dụng danh sách hơn 2.700 mật khẩu kết hợp với những tên người dùng như sa và admin.

Trình đào Monero ngụy trang thành gì?

Payload đào tiền mã hóa có tên MicrosoftEdgeUpdate.exe và sử dụng CPU của máy chủ để đào Monero thông qua XMRig, với một địa chỉ ví và ba địa chỉ mining pool trong cấu hình.

Mã độc duy trì hiện diện trên máy bị nhiễm bằng cách nào?

Báo cáo mô tả các mục trong registry, một dịch vụ Windows và các tác vụ đã lên lịch là những cơ chế duy trì hiện diện. Tác vụ đã lên lịch của RAT chạy 30 phút một lần.

Số nạn nhân đã được xác nhận chưa?

Chưa. Theo PANews, FortiGuard Labs không đưa ra con số nạn nhân đã xác nhận và cũng không quy chiến dịch cho một tác nhân cụ thể.

Bài viết Trình đào Monero và Gh0st RAT được phát hiện trên các máy chủ SQL bị lộ xuất hiện đầu tiên trên BitcoinWorld.