Guardicore Labs: ботнет Vollgar атакує сервери Microsoft SQL для прихованого майнінгу криптовалют

Фірма Guardicore Labs, що займається дослідженнями в сфері кібербезпеки, повідомила про ботнети Vollgar, який атакує сервери баз даних Microsoft SQL для прихованого майнінгу Vollar і XMR.

За даними Guardicore Labs, протягом останніх декількох тижнів зловмисникам вдавалося заражати близько 2 000-3 000 серверів кожен день. Хакери здійснюють атаку, підбираючи пароль на серверах з низьким рівнем захисту. Після злому змінюється конфігурація системи, щоб хакери могли привести в дію необхідні команди і встановити шкідливі програми для майнінг.

Від ботнету Vollgar вже постраждали організації у сфері охорони здоров’я, освіти, авіації, інформаційних технологій та телекомунікацій. В основному ботнет орієнтований на Китай, Індію, Південну Корею, Туреччину та США. Guardicore Labs з’ясувала, що командний сервер хакерів знаходиться в Китаї, однак як не парадоксально, цей сервер сам неодноразово піддавався атакам.

Фахівці Guardicore Labs повідомили, що серед файлів на керуючому сервері був виявлений інструмент для атак на MS-SQL, за допомогою якого проводилося сканування діапазону IP-адрес, а також здійснювався злом методом підбору паролів і віддалене вчинення команд.

Крім того, було знайдено дві програми на китайській мові, що вносять зміни до значення хеш-функції, портативний файловий HTTP-сервер, FTP-сервер, а також копію клієнта mstsc.exe (клієнт служби терміналів Microsoft) для підключення до жертв через протокол віддаленого робочого столу (RDP).

Guardicore Labs зазначила, що хакери атакують сервери баз даних Microsoft SQL з-за їх високої продуктивності і можливості зберігати великі обсяги даних. Ці сервери можуть містити конфіденційну інформацію, в тому числі імена користувачів, паролі і дані з кредитних карток. При цьому такі відомості хакери можуть отримати з допомогою звичайного «брутфорса».

Щоб захиститися від злому, Guardicore Labs рекомендує адміністраторам серверів використовувати складні паролі. Також компанія опублікувала скрипт на GitHub, щоб організації, які можуть стати потенційними жертвами ботнету Vollgar, змогли перевірити, чи піддавалися їх системи втручання з його боку.

Нагадаємо, що в минулому році був виявлений ботнет хакерської групи Outlaw, що поширює шкідливу програму для майнінг XMR. Крім того, ботнети найчастіше використовуються для розсилки по електронній пошті листів з вимогою викупу в криптовалютах за нерозповсюдження компрометуючої інформації.