Pesquisadores identificaram uma campanha que invade servidores Microsoft SQL expostos à internet. Os criminosos instalam um minerador de Monero e uma variante do Gh0st RAT. Esse malware permite coletar dados e controlar remotamente as máquinas comprometidas.

A equipe detectou a atividade no início de outubro de 2026. Em 12 de novembro, o FortiGuard Labs publicou o relatório sobre a operação. Contudo, a análise não identifica os invasores nem apresenta uma quantidade confirmada de vítimas.

Senhas fracas abrem caminho para o minerador

De acordo com os pesquisadores, os criminosos exploram senhas fracas de bancos de dados. As ferramentas procuram sistemas expostos e tentam entrar com credenciais predefinidas. A lista reúne mais de 2.700 entradas e combina nomes de usuário como “sa” e “admin”.

Após obter acesso, o grupo executa comandos de banco de dados para habilitar o xp_cmdshell. Em seguida, os invasores instalam um downloader no servidor comprometido. Esse componente baixa o minerador de Monero e o Gh0st RAT de uma infraestrutura controlada pelo grupo.

Na prática, o xp_cmdshell abre um terminal de comandos do Windows por meio do SQL Server. A documentação da Microsoft informa que o recurso permanece desativado por padrão nas novas instalações. A empresa recomenda ativá-lo somente durante tarefas necessárias para aplicações antigas.

Recurso exige controle de privilégios

Por padrão, os comandos iniciados por administradores herdam as permissões da conta de serviço do SQL Server. Por esse motivo, a Microsoft recomenda restringir o recurso a usuários altamente privilegiados. Caso outros usuários precisem utilizá-lo, a orientação prevê uma conta proxy com permissões limitadas.

Sem uma credencial proxy configurada, usuários sem privilégios administrativos não conseguem executar a operação. Além disso, ferramentas de auditoria podem detectar a ativação ou o uso do xp_cmdshell. Ainda assim, a campanha utilizou o recurso para combinar mineração com acesso remoto malicioso.

Gh0st RAT coleta dados e mantém o acesso

O payload de mineração usa o nome MicrosoftEdgeUpdate.exe para imitar um atualizador do navegador Microsoft Edge. Depois da instalação, ele emprega a CPU do servidor para minerar Monero com o XMRig. Sua configuração contém um endereço de carteira e três endereços de pools de mineração.

Enquanto isso, o segundo payload usa o nome winlogon.exe e corresponde a uma variante do Gh0st RAT. O programa oferece keylogging, gerenciamento de arquivos e execução remota de comandos. Plugins também disponibilizam captura de tela e área de trabalho remota, embora essas funções não aparecessem na amostra analisada.

Os pesquisadores encontraram mecanismos de persistência no Registro do Windows, em um serviço do sistema e em tarefas agendadas. Nesse processo, a tarefa vinculada ao RAT executa o malware a cada 30 minutos. Porém, a equipe não localizou um servidor de comando ativo, pois a infraestrutura já estava fora do ar.

Outras campanhas também distribuíram XMRig

Em julho de 2024, invasores exploraram servidores vulneráveis de compartilhamento de arquivos para distribuir mineradores de Monero e ferramentas de acesso remoto. A investigação encontrou ataques contra o Rejetto HTTP File Server com instalações de XMRig, XenoRAT e Gh0stRAT. Na época, pelo menos quatro invasores exploraram o serviço exposto, incluindo o grupo LemonDuck.

Os criminosos coletaram informações dos sistemas comprometidos e criaram contas de backdoor. Em muitos casos, eles encerraram o servidor de arquivos após a invasão para impedir a entrada de outros grupos. Dessa forma, os agentes buscavam manter controle exclusivo sobre os recursos das máquinas.

Falha no macOS permitiu instalar mineradores

Mais recentemente, a Apple corrigiu uma falha no macOS usada para instalar mineradores de Monero por meio do Screen Sharing. Uma autoridade de segurança cibernética dos Países Baixos confirmou invasões em vários sistemas com a porta do serviço exposta. Em todos os casos relatados, os invasores conseguiram acesso root e instalaram um minerador.

A falha de autenticação permitia entrar nos sistemas sem credenciais válidas. Posteriormente, a Apple disponibilizou correções para macOS Sequoia, Sonoma e Tahoe. Com isso, a empresa restringiu o vetor empregado nos ataques observados.

Falsas vagas de emprego instalaram minerador

Em janeiro de 2025, outra campanha usou falsas ofertas de emprego para distribuir o XMRig. E-mails que imitavam recrutadores direcionavam candidatos ao download de um suposto software de gestão de funcionários. Os pesquisadores identificaram essa operação em 7 de janeiro daquele ano.

A página oferecia opções para Windows e macOS, mas ambas forneciam um executável para Windows escrito em Rust. Antes do download do minerador, o programa procurava ferramentas de depuração e contava os processos ativos. Também exigia uma CPU com pelo menos dois núcleos.

Quando o computador atendia aos requisitos, o aplicativo exibia uma falsa mensagem de erro. Logo depois, o programa continuava o download e instalava o XMRig. A empresa imitada pelos invasores afirmou que não exige downloads de softwares durante processos de recrutamento.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.