Servidores inseguros do Microsoft SQL e MySQL atingidos pelo malware Gh0stCringe

Servidores do Microsoft SQL e MySQL que não possuem a devida proteção estão sofrendo ataques do malware Gh0stCringe. Por sua vez, este é um tipo de malware. O Gh0stCringe, também conhecido como CirenegRAT, é uma variante do malware Gh0st RAT. Ele foi implantado mais recentemente em  operações de espionagem cibernética chinesa em 2020. Porém,  suas origens estão em 2018. Portanto, é preciso estar atento a servidores inseguros do Microsoft SQL e MySQL.

Em um novo relatório da empresa de segurança cibernética AhnLab, os pesquisadores descrevem como os agentes de ameaças por trás do GhostCringe estão visando servidores de banco de dados mal protegidos com credenciais de conta fracas e sem supervisão.

Servidores inseguros do Microsoft SQL e MySQL atingidos pelo malware Gh0stCringe

Como você pode ver abaixo, os agentes de ameaças estão violando os servidores de banco de dados e usando os processos mysqld.exe, mysqld-nt.exe e sqlserver.exe para gravar o executável malicioso ‘mcsql.exe’ no disco.

Esses ataques são semelhantes aos ataques ao servidor Microsoft SQL de fevereiro passado, que  eliminaram  os beacons Cobalt Strike usando o comando Microsoft SQL.

Além do Gh0stCringe, o relatório do AhnLab menciona a presença de várias amostras de malware nos servidores examinados, indicando que os agentes de ameaças concorrentes estão violando os mesmos servidores para descartar cargas úteis para suas próprias campanhas.

Gh0stCringe no servidor

Gh0stCringe RAT é um malware poderoso que estabelece uma conexão com o servidor C2 para receber comandos personalizados ou exfiltrar informações roubadas para os adversários.

O malware pode ser configurado durante a implantação com configurações específicas referentes às suas funções, conforme detalhado abaixo:

• Autocópia [Ligado/Desligado]: Se ativado, ele copia a si mesmo para um determinado caminho, dependendo do modo.
• Modo de execução [Mode]: Pode ter valores de 0, 1 e 2.
• Alteração do tamanho do arquivo [Tamanho]: No Modo #2, o malware se copia para um caminho específico e, se houver um valor definido, adiciona dados inúteis do tamanho designado na parte de trás do arquivo Arquivo.
• Técnica de interrupção de análise [On/Off]: Obtém o PID de seu processo pai e do processo explorer.exe. Se resultar em um valor de 0, termina a si mesmo.
• Keylogger [On/Off]: Se ativado, o encadeamento de keylogging opera.
• Encerramento do processo Rundll32 [On/Off] Se ativado, executa o comando para encerrar o processo rundll32 que está em execução.
• Propriedade de arquivo de auto-cópia [Attr]: define a propriedade como somente leitura, oculta e sistema

Dos itens acima, o keylogger é talvez o componente mais agressivo, pois é isso que rouba as entradas do usuário do sistema comprometido.

O componente keylogging usa o método Windows Polling (API GetAsyncKeyState) para consultar o estado de cada chave por meio de um loop infinito.

Esse método de registro confiável apresenta o risco de uso de CPU suspeitosamente alto, mas em servidores mal gerenciados, é improvável que isso cause problemas aos agentes de ameaças.