攻击者利用2700组密码爆破公网SQLServer，植入远控与挖矿程序

近期，安全研究人员监测到一轮针对微软SQL Server的定向攻击活动。攻击者将目标锁定在未做充分防护、直接暴露于公网的SQL Server实例上，通过大规模密码爆破手段尝试登录，一旦成功即植入恶意载荷，包括远程控制程序与加密货币挖矿模块。

据披露，此次攻击使用的密码字典包含超过2700组常见弱口令组合，覆盖默认账户（如sa）、常见密码变体（如Password123、Admin@2024）以及历史泄露凭证的高频组合。攻击流程高度自动化：首先扫描开放1433端口的主机，随后发起并发登录尝试；一旦认证成功，立即执行PowerShell脚本下载后续载荷，最终部署Cobalt Strike Beacon或XMRig挖矿程序。

该攻击模式并非首次出现，但本次规模与自动化程度显著提升。值得注意的是，攻击者并未依赖SQL注入等高阶漏洞利用，而是回归最基础的“凭证暴力破解”策略——这恰恰反映出大量企业仍存在基础安全配置缺失的问题。例如，未禁用默认账户、未启用强制复杂密码策略、未限制登录IP白名单、未部署多因素认证（MFA），甚至部分系统仍在使用SQL Server 2008 R2等已停止支持的旧版本。

从技术路径看，此次攻击属于典型的“横向移动前置阶段”：攻击者以数据库服务器为跳板，后续可能进一步渗透内网其他资产。SQL Server作为企业核心业务数据枢纽，一旦失陷，不仅导致数据泄露风险激增，还可能被用于持久化驻留或作为C2通信中继节点。尤其当服务器具备外网访问权限且运行在云环境时，其影响范围可迅速扩散至整个组织架构。

安全团队在分析样本时发现，部分植入的挖矿程序经过混淆处理，进程名伪装为sqlservr.exe或svchost.exe，内存中无落地文件，规避传统基于签名的检测机制；远程控制模块则采用DNS隧道通信，将命令与数据编码至子域名请求中，绕过常规防火墙规则。这种“无文件攻击”（Fileless Attack）特征，使得终端EDR系统难以及时捕获异常行为。

值得警惕的是，此类攻击与近年来基础设施层“幽灵感染”趋势高度吻合。正如56安全研究院所指出，现代攻击者正从“突破边界”转向“接管信任链”——不再执着于 exploits 利用，而是通过合法进程寄生、配置篡改等方式实现长期潜伏。SQL Server本身作为Windows服务运行，若其账户权限过高（如Local System），攻击者即可借其身份执行任意系统操作，形成事实上的“特权容器”。

强制实施强密码策略并定期轮换，禁用默认账户（尤其是sa）；
启用SQL Server身份验证+Windows身份验证双因子组合，并对管理员账户启用MFA；
部署网络级访问控制（如Azure NSG、AWS Security Group）仅允许可信IP访问；
使用SQL Server Audit功能记录所有登录尝试，结合SIEM平台实时告警异常频次；
对关键实例启用Always Encrypted或TDE加密，降低数据泄露价值；
定期执行基线合规检查，确保未启用不必要的功能（如xp_cmdshell、OLE Automation Procedures）。

此外，企业应避免将数据库直接暴露于公网。理想架构中，数据库应位于私有子网，通过应用层API网关或跳板机间接访问。云厂商提供的托管数据库服务（如Azure SQL Database、Amazon RDS）通常默认关闭公网访问，并内置威胁检测模块，可大幅降低此类攻击面。

此次事件也折射出一个长期被忽视的事实：数据库安全常被视为“后台事务”，在DevOps流程中优先级低于前端应用与API接口。然而，当攻击者能以极低成本获取数据库控制权时，其潜在破坏力远超一次Web应用漏洞利用。尤其在金融、医疗、政务等高价值行业，SQL Server承载着核心业务逻辑与用户隐私数据，任何一次失陷都可能引发连锁反应。

回顾近年同类事件，2022年曾有攻击团伙利用弱口令批量入侵全球数千台SQL Server，部署WannaMine挖矿病毒；2023年某国家级APT组织亦被发现通过SQL Server提权后横向渗透至域控制器。这些案例共同表明，基础服务的配置疏忽仍是当前最普遍、最易被利用的攻击入口。

目前尚无证据显示本次攻击与特定APT组织相关，更倾向于由地下犯罪团伙发起的盈利性行动。其目标明确：快速获取算力资源用于加密货币挖矿，或出售数据库访问权限牟利。由于SQL Server广泛应用于中小企业及传统行业信息系统，该类攻击短期内仍将持续活跃。

面对此类低技术门槛但高成功率的攻击，安全建设应回归本质：不是追求最前沿的AI驱动检测，而是夯实最小权限、强认证、网络隔离等基本防线。毕竟，在数字世界中，最危险的漏洞往往不是未知的0day，而是已知却未修复的配置错误。