Server Microsoft SQL yang tersambung langsung ke internet publik menjadi target kampanye serangan siber terarah. Peneliti Xiaopeng Zhang dari FortiGuard Labs merilis laporan temuan itu pada 12 November, memaparkan bagaimana pelaku membobol basis data untuk menambang Monero sekaligus menanam trojan akses jarak jauh.
Aktivitas peretasan terdeteksi berlangsung sejak awal Oktober 2026. Pelaku melancarkan teknik brute-force dengan menguji daftar berisi lebih dari 2.700 kata sandi yang dipasangkan pada nama pengguna bawaan seperti ‘sa’ dan ‘admin’.
Masalah baru berlanjut begitu pintu masuk sistem terbuka.
Bagaimana Pelaku Membuka Akses Shell
Setelah menembus login, pelaku menjalankan perintah database untuk mengaktifkan fitur bernama xp_cmdshell. Fitur ini merupakan Windows command shell yang dapat dijalankan langsung dari dalam SQL Server. Dalam setelan bawaan, Microsoft menonaktifkan fungsi ini karena setiap perintah yang dieksekusi otomatis mewarisi hak istimewa tinggi milik akun layanan sistem.
Pelaku memanfaatkan akses xp_cmdshell untuk memasang downloader. Perangkat pengunduh ini bertugas mengambil paket muatan dari server penyerang, yang mencakup software penambang kripto Monero dan malware remote-access trojan Gh0st RAT.
Samaran Pembaruan Edge dan Dua Muatan Malware
Muatan pertama berupa program penambang Monero yang disamarkan dengan nama file MicrosoftEdgeUpdate.exe. Berkas samaran ini menjalankan software XMRig untuk memeras kapasitas prosesor CPU komputer korban. Di dalam kode penambang, tim peneliti menemukan konfigurasi yang memuat satu alamat dompet kripto Monero serta tiga alamat pool penambangan.
Muatan kedua disusupkan menggunakan nama berkas winlogon.exe. Berkas ini merupakan varian Gh0st RAT yang memberi pelaku kemampuan merekam ketukan tombol keyboard (keylogging), memanipulasi file, dan mengeksekusi perintah jarak jauh. Penyerang juga dapat mengaktifkan modul plugin tambahan untuk mendapatkan fitur rekaman layar dan remote desktop.
📌 Baca JugaTiga Dompet Trezor Safe 5 di Tokopedia dan Shopee Dipasangi Alat Sadap - 80% Reseller Resmi Dipangkas
Taktik Bertahan Tiap Tiga Puluh Menit
Agar program tidak hilang saat komputer dimulai ulang, pelaku menanamkan mekanisme persistensi di tiga bagian sistem Windows. Pelaku memasang jejak persistensi melalui entri registry Windows, instalasi layanan Windows service, serta scheduled task yang diatur berjalan otomatis setiap 30 menit.
Saat tim peneliti FortiGuard Labs menggelar analisis forensik, server komando dan kendali (C2) milik peretas dilaporkan sudah tidak aktif. Namun bagi pengelola server basis data di jaringan publik, serangan ini menjadi pengingat tentang bahaya membiarkan kata sandi bawaan tanpa pengamanan serta fitur shell berhak istimewa tetap menyala.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
