İnternete açık SQL Server'lara brute force: zayıf parolayla girilen sunuculara Monero miner ve Gh0st RAT kuruluyor
FortiGuard Labs, internete açık Microsoft SQL Server sunucularını tarayıp zayıf parolaları deneyen bir kampanyayı açıkladı. Giriş başarılı olursa sunucuya XMRig tabanlı bir cryptominer ve Gh0st RAT türevi yükleniyor; kaç sunucunun etkilendiği bilinmiyor.
Fortinet'in araştırma ekibi FortiGuard Labs, internete açık Microsoft SQL Server sunucularına zayıf parolalar üzerinden giren ve içeriye hem Monero cryptominer'ı hem de Gh0st RAT türevi bir remote access trojan yerleştiren bir kampanyayı açıkladı. Infosecurity Magazine'in aktardığına göre ekip kampanyayı Ekim 2026 başında fark etti, yüksek önem derecesiyle sınıflandırdı ve bulgularını 12 Kasım'da yayımladı.
Raporda kaç sunucunun ele geçirildiği ve kampanyanın arkasında kimin olduğu belirtilmiyor. Ortada bir yazılım açığı yok: saldırı, internetten erişilebilen veritabanı portuna ve tahmin edilebilir parolaya dayanıyor.
Saldırı nasıl ilerliyor?
Habere göre zincir, Go ile yazılmış bir ilk yükleyiciyle başlıyor. Bu yükleyici açık kaynak port tarayıcısı Naabu'yu içeriyor; saldırganın sunucusundan bir IP aralığı alıyor, SQL Server'ın varsayılan portu olan TCP 1433'ü tarıyor, yanıt veren adresleri kaydediyor ve yeni bir aralık isteyerek baştan başlıyor. Araştırmacılara göre taramanın yerleşik bir bitiş noktası yok; sunucu yeni aralık verdiği sürece devam ediyor.
Ardından bir brute force aracı, bulunan her sunucuda "sa" ve "admin" gibi kullanıcı adlarını 2.700'den fazla parolayla deniyor. Giriş başarılı olursa zararlı, sunucuda T-SQL komutları çalıştırıyor: işletim sistemi komutu çalıştırmaya yarayan xp_cmdshell özelliğini açıyor, bir loader indiriyor ya da açıyor, loader'ı her gün çalışacak şekilde zamanlıyor ve bir kopyasını Startup klasörüne bırakıyor. Loader ek zararlıları bir FTP sunucusundan çekiyor ve ele geçirilen sunucuyu saldırganın altyapısına kaydediyor; gönderilen bilgiler arasında açık IP adresi, ülke, Windows sürümü, işlemci ve bellek ayrıntıları, kullanıcı adı ve makine adı bulunuyor.
Sunucuya ne kuruluyor?
- Cryptominer: XMRig tabanlı bir Monero miner'ı sunucunun işlemcisini kullanıyor. Dosyanın ve zararlının oluşturduğu iki zamanlanmış görevin adı Microsoft Edge güncellemesine benzetilmiş.
- Gh0st RAT türevi: Bir Windows sistem sürecinin adını taşıyor. Keylogging, veri çalma ve 30'dan fazla kontrol komutunu destekliyor; eklentilerle ekran görüntüsü alma ve uzak masaüstü sağlıyor. Event log'ları temizleyebiliyor, süreç adına bakarak 78 güvenlik ürününü arıyor. Kalıcılık için registry Run anahtarı, bir Windows servisi ve 30 dakikada bir çalışan zamanlanmış görev kullanıyor.
Fortinet, RAT'in komuta kontrol sunucusunun analizden önce kapandığını, bu yüzden kodu çalıştırmadan incelediğini belirtiyor.
Beni etkiliyor mu?
Risk altında olanlar, 1433 portu internete açık olan ve SQL kimlik doğrulamasında zayıf ya da varsayılan parola kullanan sunucular. Şunlara bakın:
- Firewall ve bulut güvenlik grubu kurallarında TCP 1433'ün internetten erişilebilir olup olmadığı.
- SQL Server hata günlüğünde aynı kaynaktan gelen çok sayıda başarısız "sa" girişi.
- SQL Server Management Studio'da sunucu özelliklerinde
xp_cmdshellözelliğinin, siz açmadığınız halde etkin görünmesi. - Görev Zamanlayıcı'da ve Startup klasöründe Edge güncellemesi gibi adlandırılmış, tanımadığınız kayıtlar; sunucuda açıklanamayan yüksek işlemci kullanımı; dışarıya doğru FTP bağlantıları.
Ne yapılmalı?
- SQL Server'ı doğrudan internete açmayın; erişimi VPN ya da belirli kaynak adresleriyle sınırlayın.
- "sa" hesabını devre dışı bırakmayı ya da yeniden adlandırmayı değerlendirin; SQL hesaplarında uzun ve benzersiz parola kullanın, mümkünse Windows kimlik doğrulamasına geçin.
xp_cmdshellözelliğine ihtiyacınız yoksa kapalı tutun ve durumunu düzenli denetleyin.- SQL servis hesabını en düşük yetkiyle çalıştırın; başarısız giriş denemeleri için alarm kurun.
- İz bulursanız sunucuyu ağdan ayırın, yalnızca miner'ı silmekle yetinmeyin: RAT bulunduğu için sunucudaki tüm kimlik bilgilerini değiştirin ve temiz kurulumu planlayın. Ayrıntılı göstergeler için FortiGuard Labs raporuna bakın.
