Хакери превърнаха Microsoft SQL Server в канал за управление и извличане на данни

Хакери превърнаха Microsoft SQL Server в канал за изпълнение на команди и прехвърляне на събрани файлове при пробив, свързан със среда на Viva Aerobus. Техният собствен публично достъпен сървър впоследствие е изложил инструментите за атака и откраднатите материали на несвързани потребители в интернет.

Дейността, наблюдавана между 25 и 29 септември 2026 г., е включвала извличане на идентификационни данни, събиране на изходен код и подготовка за достъп до допълнителни системи.

Разследването не е установило как атакуващите първоначално са проникнали в средата, нито е идентифицирало конкретно семейство зловреден софтуер. Наличните записи описват набор от инструменти, а не единичен имплант. Изследователи от ThreatMon са открили изложената инфраструктура по време на рутинно търсене на заплахи (threat hunting).

От ThreatMon съобщават в доклад, споделен с Cyber Security News (CSN), че сървърът е съдържал 17 наименувани инструмента, предлагайки необичайно подробен поглед върху операцията след първоначалното компрометиране.

Констатациите разкриват второ излагане на данни, наслоено върху първоначалния пробив, но не и потвърдено изтичане на данни на пътници. Изследователите не са открили доказателства, потвърждаващи успешен достъп до допълнителни системи или кражба на чувствителни данни за пътници, плащания или еквивалентни бизнес данни.

Хакери превърнаха Microsoft SQL Server в канал за управление

Атакуващите са използвали xp_cmdshell — функция на SQL Server, която може да изпълнява команди на операционната система, когато е активирана. Възстановените инструменти са подавали Windows команди и кодиран PowerShell през бази данни сесии, позволявайки достъпът до SQL да се превърне в работен канал към основната Windows система.

Този механизъм наподобява предишни случаи на атаки срещу SQL сървъри, при които достъпът до базата данни е позволявал изпълнението на команди извън самата база данни.

Тук обаче възстановените доказателства описват активност след компрометирането, а не потвърждават конкретна уязвимост, атака срещу пароли или друг метод за първоначален вход.

Сайщата връзка към базата данни е могла да пренася и файлове навън. Възстановените инструменти са чели съдържанието на файловете, разделяли са го на по-малки части, конвертирали са ги в Base64 текст и са ги връщали чрез резултатите от SQL заявките, вместо да отварят отделен комуникационен канал.

Base64 е начин за представяне на данни като текст, а не криптиране. В този работен процес той е направил съдържанието на файловете прехвърляемо чрез отговорите на базата данни. Връзка, използвана за подаване на команди, е могла следователно да връща и събрана информация, без да изисква конвенционален сървър за управление на зловреден код.

Опасността от изпълнение на команди през база данни е появявала и при случаи на експлоатация на приложението Mjobtime, въпреки че ThreatMon не свързва този пробив с този софтуер. Връзката е в използването на функционалности на базата данни за достигане до операционната система и изпълнение на команди.

HTTP записите показват изтегляне на зловреден код от средата на жертвата в 16:20 ч. на 25 септември. Несвързан хост е проучил изложения сървър между 16:21 и 16:23 ч., последван от допълнителни хостове, изтеглящи инструменти и събрани артефакти между 18:04 и 18:05 ч.

Излагане на идентификационни данни

Разкритият набор от инструменти е включвал скриптове за събиране на идентификационни данни от браузъри и Windows, тестване на SQL входове и прехвърляне на файлове.

Артефакти от Mimikatz показват активност по извличане на идентификационни данни (credential dumping) — техника, наблюдавана и при кампании за кражба на данни HiddenGh0st, въпреки че не е установена връзка между двете операции.

Изследователите са възстановили също история на връзките в SQL Server Management Studio, потребителски имена за бази данни и запазени пароли, защитени с Windows DPAPI.

Тези записи биха могли да помогнат на атакуващите да идентифицират допълнителни цели, но тяхното наличие не означава, че всяка запазена парола е била успешно декриптирана.

Събраният изходен код и конфигурационни файлове съдържат референции към връзки с бази данни, OAuth, имейл, SFTP и интеграции за плащания или отчитане.

ThreatMon спести чувствителни стойности, имена на хостове на жертви, потребителски имена и други поверителни материали в публичната си публикация, за да не изложи потенциално повторно използваеми тайни.

Възстановените помощни програми са тествали комбинации от идентификационни данни срещу други SQL системи и са проверявали достъпа до административни споделени ресурси (SMB shares).

Доказателствата подкрепят опити за повторно използване на идентификационни данни и подготовка за странично придвижване в мрежата, но не и потвърждение, че киберпрестъпниците успешно са компрометирали тези допълнителни системи.

Екипите по защита трябва да прегледат историческите мрежови връзки спрямо публикуваните индикатори и да scan-ват крайните точки за съвпадащи хешове и съобщената работна директория.

Неочаквано използване на xp_cmdshell, кодиран PowerShell или необичайни файлови операции под сервизен акаунт на SQL Server изискват незабавно разследване.

Запазените връзки с бази данни и записите на пароли също трябва да се третират като чувствителна информация. От ThreatMon предупреждават, че идентификационните данни или тайните, достигнали до изложения междинен сървър, трябва да се считат за компрометирани, тъй като трети лица са имали достъп до материала и първоначалният атакуващ не е бил задължително единственият му получател.

Indicators of compromise (IoCs):-

Note: IP addresses and domains are intentionally defanged (e.g., [.]) to prevent accidental resolution or hyperlinking. Re-fang only within controlled threat intelligence platforms such as MISP, VirusTotal, or your SIEM.