Una campaña detectada por FortiGuard Labs aprovecha contraseñas débiles en servidores Microsoft SQL expuestos para instalar un minero de Monero y una variante de Gh0st RAT, capaz de facilitar el control remoto y otras acciones en los equipos comprometidos.
***

• Los atacantes prueban más de 2.700 contraseñas junto con usuarios comunes, como “sa” y “admin”, para entrar a bases de datos expuestas.
• Un archivo que imita un actualizador de Microsoft Edge instala XMRig, mientras Gh0st RAT incorpora funciones de registro de teclas y gestión de archivos.
• El informe describe persistencia mediante el registro de Windows, un servicio y tareas programadas, pero no confirma víctimas ni identifica a los responsables.

Servidores SQL expuestos terminan minando Monero y bajo control remoto

Una intrusión que empieza con credenciales débiles

Una campaña de ciberataques está aprovechando servidores Microsoft SQL expuestos a internet para instalar dos tipos de software malicioso: un minero de Monero y una variante del troyano de acceso remoto Gh0st RAT. El informe de FortiGuard Labs, elaborado por el investigador Xiaopeng Zhang y publicado el 12 de noviembre, describe una operación que busca bases de datos accesibles y prueba credenciales débiles o predefinidas para tomar el control de las máquinas.

La actividad fue detectada a principios de octubre de 2026, según la investigación. El reporte no identifica a los responsables ni entrega un recuento confirmado de víctimas, por lo que no permite determinar el alcance de la campaña ni atribuirla a un grupo específico. Su análisis se concentra en los métodos de intrusión, los programas instalados y las formas en que los atacantes intentan conservar el acceso.

Las herramientas empleadas prueban más de 2.700 contraseñas asociadas con nombres de usuario habituales, entre ellos “sa” y “admin”. El uso de una lista tan extensa permite buscar combinaciones débiles en bases de datos expuestas; si una de ellas funciona, los intrusos pueden ejecutar comandos desde el entorno de SQL Server y avanzar hacia la instalación de archivos maliciosos.

La secuencia descrita por Zhang incluye la habilitación de xp_cmdshell, una función que permite abrir un shell de comandos de Windows desde SQL Server. Después, los atacantes ejecutan comandos de base de datos para descargar un programa que obtiene el minero de Monero y Gh0st RAT desde un servidor bajo su control, conectando así el acceso inicial con la instalación de las dos cargas.

El papel de xp_cmdshell y los privilegios del servidor

xp_cmdshell es una función especialmente delicada porque permite que comandos de Windows se ejecuten desde el motor de base de datos. La documentación de Microsoft señala que viene deshabilitada en las nuevas instalaciones de SQL Server y que, por regla general, debería mantenerse apagada; algunas aplicaciones antiguas pueden necesitarla, pero la recomendación es habilitarla solo durante la tarea que la requiera.

El impacto de esa función depende también de los permisos asociados a la cuenta de servicio de SQL Server. Microsoft explica que los comandos ejecutados por un administrador de base de datos mediante xp_cmdshell heredan los permisos de seguridad de esa cuenta, una condición que puede ampliar el alcance de la intrusión si el atacante consigue operar con privilegios elevados.

La guía de Microsoft recomienda limitar el acceso a usuarios con altos privilegios y configurar una cuenta proxy con menos permisos cuando usuarios no administradores necesiten utilizar la función. Sin una credencial proxy configurada, un usuario sin privilegios administrativos no puede ejecutar xp_cmdshell, de acuerdo con la documentación; la compañía también advierte que habilitar o utilizar la herramienta puede activar mecanismos de auditoría de seguridad.

En la campaña, la función sirve como puente entre el acceso a la base de datos y la ejecución de comandos en el sistema Windows que aloja el servidor. Por eso, revisar si xp_cmdshell está habilitada y qué cuenta ejecuta sus instrucciones resulta relevante para evaluar la exposición, aunque el informe no sostiene que todas las instalaciones de SQL Server estén comprometidas ni que la función sea la única vía posible de ataque.

Un minero disfrazado y un troyano de control remoto

El minero se presenta como MicrosoftEdgeUpdate.exe, un nombre que imita el de un actualizador de Microsoft Edge. Una vez instalado, utiliza la capacidad de procesamiento del servidor para minar Monero mediante XMRig; el análisis de Zhang encontró dentro de su configuración una dirección de billetera y tres direcciones de grupos de minería.

La segunda carga se llama winlogon.exe y corresponde a una variante de Gh0st RAT. Según el informe, sus funciones incluyen registro de teclas, gestión de archivos y ejecución de comandos remotos, capacidades que pueden dar a los atacantes un acceso más amplio que el necesario para mantener la minería en marcha.

El troyano también puede ofrecer captura de pantalla y acceso a escritorio remoto mediante complementos, pero esas funciones no aparecieron en la muestra examinada. Esta distinción importa: el reporte describe capacidades posibles de la familia de malware, pero no afirma que todas estuvieran activas en el archivo analizado ni que se hayan utilizado contra las víctimas de esta campaña.

Para sostener la presencia de ambos programas, los atacantes recurren a cambios en el registro de Windows, a la instalación de un servicio y a tareas programadas. La tarea asociada con Gh0st RAT se ejecuta cada 30 minutos, de acuerdo con el análisis, lo que muestra cómo la operación intenta conservar el acceso incluso después de que el equipo reinicie o cierre procesos.

El alcance del análisis y otros casos de minería maliciosa

Los investigadores analizaron Gh0st RAT sin conectarlo a un servidor de comando y control en funcionamiento, porque la infraestructura ya había sido apagada antes del examen. Por esa razón, el informe identifica características del programa y mecanismos de persistencia, pero no pudo observar directamente instrucciones en vivo ni establecer qué acciones adicionales habrían ordenado los operadores.

El uso de servidores expuestos para combinar minería con acceso remoto no es un patrón aislado en los antecedentes citados. En julio de 2024, una investigación de AhnLab documentó ataques contra el servidor de archivos Rejetto HTTP File Server, en los que los intrusos instalaron XMRig junto con herramientas como XenoRAT y Gh0stRAT.

AhnLab identificó al menos cuatro atacantes que desplegaban mineros mediante ese servicio expuesto, incluido el grupo LemonDuck. Los investigadores observaron que los intrusos recopilaban información del sistema y creaban cuentas backdoor; en muchos casos, también terminaban el servidor de archivos después de establecer el acceso, una medida que impedía que otros atacantes utilizaran el mismo servicio.

Otro caso citado por la fuente involucró una vulnerabilidad de macOS relacionada con Compartir Pantalla. En un aviso del 12 de agosto, el Centro Nacional de Ciberseguridad de los Países Bajos confirmó intrusiones en múltiples sistemas cuyo puerto de Compartir Pantalla era accesible desde internet, y señaló que los atacantes obtuvieron acceso root e instalaron un minero de Monero en cada caso reportado.

El aviso neerlandés describió una debilidad de autenticación que permitía el acceso sin credenciales válidas y señaló que había correcciones para macOS Sequoia, Sonoma y Tahoe. El mismo tipo de abuso de XMRig también apareció en una campaña de suplantación de reclutadores de CrowdStrike detectada el 7 de enero de 2025: la página ofrecía descargas para Windows y macOS, pero ambas entregaban un ejecutable de Windows escrito en Rust que obtenía el minero.

En aquel caso, la aplicación maliciosa comprobaba si había software de depuración, contaba los procesos activos y verificaba que la CPU tuviera al menos dos núcleos antes de continuar. Luego mostraba un mensaje de error falso y seguía descargando XMRig; CrowdStrike dijo que nunca exige a los candidatos descargar software durante su proceso de reclutamiento, una advertencia que distinguía aquella estafa de la campaña actual contra servidores SQL.

En conjunto, los episodios muestran distintas rutas para instalar minería de Monero, desde contraseñas débiles en bases de datos hasta servicios expuestos o engaños de ingeniería social. En el caso de SQL Server, los elementos descritos por el informe son la búsqueda de credenciales, la habilitación de xp_cmdshell, la instalación de XMRig y Gh0st RAT y el uso de mecanismos de persistencia; no hay cifras de víctimas ni una atribución pública de los atacantes.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín