网通社科技快报
超2700组弱密码爆破SQL服务器 植入远控与挖矿程序
近期安全研究人员监测到新一轮针对微软SQL Server的定向攻击活动。攻击者聚焦暴露于公网、防护薄弱的SQL Server实例，使用包含超2700组弱口令（如sa/Password123、Admin@2024等）的字典进行自动化爆破，目标端口为1433。一旦登录成功，即通过PowerShell脚本下载并执行恶意载荷，主要为Cobalt Strike Beacon远程控制模块与XMRig加密货币挖矿程序。
技术特征上，攻击呈现典型“无文件”趋势：挖矿进程伪装为sqlservr.exe或svchost.exe，内存驻留、无落地文件；远控通信采用DNS隧道，将指令编码至子域名请求中，绕过传统防火墙与签名检测。攻击未依赖高阶漏洞，而是回归基础凭证爆破，暴露出大量企业仍存在默认账户未禁用、密码策略缺失、未启MFA、未限制IP白名单及运行老旧版本（如SQL Server 2008 R2）等问题。
SQL Server作为核心数据枢纽，失陷后不仅导致数据泄露风险激增，更可能成为横向移动跳板或C2中继节点，尤其在云环境中易扩散影响。安全建议包括：强制强密码与定期轮换、禁用sa账户、启用双因子认证、网络层IP访问控制、开启SQL Audit结合SIEM告警、加密敏感数据、关闭非必要功能（如xp_cmdshell），并避免数据库直接暴露公网，推荐使用托管服务（如Azure SQL、RDS）。
该攻击暂无证据指向特定APT组织，更似地下犯罪团伙发起的盈利性行动，目标为快速获取算力或出售数据库权限。鉴于SQL Server在中小企业与传统行业广泛部署，此类低门槛高成功率攻击短期内将持续活跃。
技术特征上，攻击呈现典型“无文件”趋势：挖矿进程伪装为sqlservr.exe或svchost.exe，内存驻留、无落地文件；远控通信采用DNS隧道，将指令编码至子域名请求中，绕过传统防火墙与签名检测。攻击未依赖高阶漏洞，而是回归基础凭证爆破，暴露出大量企业仍存在默认账户未禁用、密码策略缺失、未启MFA、未限制IP白名单及运行老旧版本（如SQL Server 2008 R2）等问题。
SQL Server作为核心数据枢纽，失陷后不仅导致数据泄露风险激增，更可能成为横向移动跳板或C2中继节点，尤其在云环境中易扩散影响。安全建议包括：强制强密码与定期轮换、禁用sa账户、启用双因子认证、网络层IP访问控制、开启SQL Audit结合SIEM告警、加密敏感数据、关闭非必要功能（如xp_cmdshell），并避免数据库直接暴露公网，推荐使用托管服务（如Azure SQL、RDS）。
该攻击暂无证据指向特定APT组织，更似地下犯罪团伙发起的盈利性行动，目标为快速获取算力或出售数据库权限。鉴于SQL Server在中小企业与传统行业广泛部署，此类低门槛高成功率攻击短期内将持续活跃。