SQL Server遭入侵，伺服器被植入門羅幣挖礦程式與Gh0st RAT

對外開放的微軟（Microsoft，MSFT）SQL Server遭到攻擊，伺服器被同時植入門羅幣（XMR）挖礦程式與Gh0st RAT遠端控制惡意程式。攻擊者利用資料庫功能執行Windows指令，並下載惡意檔案。

這波攻擊活動於2026年10月初開始。FortiGuard Labs在12日發布的技術分析中說明了攻擊流程。

攻擊者先尋找暴露於網際網路的SQL Server，再利用惡意檔案內的Naabu掃描器，搜尋會在預設連接埠TCP 1433回應的伺服器。

接著，攻擊者以「sa」、「admin」等使用者名稱，搭配超過2700組密碼嘗試登入。分析指出，攻擊者透過伺服器掃描與密碼猜測取得入侵管道。

登入成功後，攻擊者透過T-SQL指令啟用「xp_cmdshell」。啟用這項功能後，便可從資料庫執行Windows指令。

攻擊者利用該功能下載並執行更多惡意檔案。載入程式透過排程工作及登錄設定等方式，讓惡意檔案持續執行。

部分檔案與排程工作使用了讓人聯想到微軟Edge更新的名稱。其中名為「MicrosoftEdgeUpdate.exe」的檔案實際上是挖礦程式，並非瀏覽器更新程式。

該檔案以XMRig為基礎，利用受感染伺服器的CPU挖掘門羅幣。FortiGuard Labs的分析也展示了該程式與挖礦礦池通訊的情況。

一併散布的「winlogon.exe」則被確認是Gh0st RAT的變種。FortiGuard Labs分析的檔案包含鍵盤輸入記錄、資料竊取功能，以及超過30種控制指令。

螢幕截圖與遠端桌面是透過外掛程式提供的功能，與此次分析檔案本身確認具備的功能不同。

分析當時，Gh0st RAT的命令與控制伺服器已離線。研究人員對惡意檔案進行靜態分析，因此未能確認實際受感染伺服器與控制伺服器之間交換的通訊內容。

Keeper Security首席資訊安全長尚恩・巴尼（Shane Barney）在接受CSO Online訪問時表示：「資料庫暴露於網際網路，可能是技術債務或設定錯誤意外造成的；但若依賴固定且長期有效的憑證，這種暴露就會成為重大弱點。」他也補充，挖礦活動可能被用作「煙幕」，掩護透過遠端控制工具取得的長期存取權限。

微軟在SQL Server安全文件中建議，xp_cmdshell預設應維持停用，通常也應持續關閉；若有需要，僅在實際作業期間啟用。微軟的防火牆設定指南也指出，SQL Server防火牆應僅允許已核准的使用者或系統存取資料庫引擎。