Mật khẩu yếu, lợi nhuận mạnh: Chiến dịch đào Monero lợi dụng các máy chủ SQL công khai
TREE NEWS đưa tin: Các nhà nghiên cứu bảo mật tại FortiGuard Labs đã công bố một chiến dịch đang diễn ra, trong đó một tác nhân đe dọa đã quét các cơ sở dữ liệu Microsoft SQL Server bị lộ trên internet và tấn công vét cạn để giành quyền truy cập bằng một từ điển gồm hơn 2.700 mật khẩu yếu phổ biến. Sau khi vào được bên trong, những kẻ tấn công triển khai một trình đào tiền mã hóa Monero (XMR) cùng với trojan truy cập từ xa Gh0st RAT, biến các máy chủ cơ sở dữ liệu bị xâm phạm thành những nút đào âm thầm, dai dẳng, đồng thời vẫn duy trì quyền kiểm soát trực tiếp đối với máy chủ.
Chiến dịch này được cho là đã hoạt động ít nhất từ đầu tháng 10 năm 2026, và việc lựa chọn mục tiêu của nó rất đáng chú ý. Các phiên bản SQL Server công khai là một trong những thành phần hạ tầng doanh nghiệp phổ biến nhất và kém hào nhoáng nhất trên internet — thường được các nhóm ứng dụng dựng lên, hiếm khi được gia cố bảo mật, và gần như không bao giờ được giám sát lưu lượng đào tiền đi ra. Sự kết hợp đó khiến chúng trở thành nguồn tài nguyên hấp dẫn, chi phí thấp cho những kẻ tấn công tìm kiếm sức mạnh tính toán mà không phải trả tiền.
Vì sao Monero vẫn là đồng tiền được thợ đào ưa chuộng
Thiết kế của Monero tiếp tục khiến nó trở thành đơn vị tiền tệ mặc định cho các hoạt động cryptojacking. Thuật toán bằng chứng công việc RandomX thân thiện với CPU cho phép kẻ tấn công đào có lãi trên phần cứng máy chủ đa dụng thay vì cần ASIC hay GPU, trong khi các tính năng riêng tư gây khó khăn cho việc truy vết các khoản thanh toán. Đối với một kẻ tấn công đã xâm phạm máy chủ, chi phí biên để cài đặt trình đào gần như bằng không, và doanh thu tích lũy liên tục chừng nào cuộc xâm nhập còn chưa bị phát hiện.
- Rào cản gia nhập thấp: RandomX thưởng cho các CPU máy chủ x86 thông thường, loại mà các máy chủ SQL Server thường có rất nhiều.
- Quyền riêng tư: Chữ ký vòng và địa chỉ ẩn danh che khuất dòng chảy của số tiền đào được.
- Tải trọng kép: Việc kết hợp một trình đào với Gh0st RAT cho thấy tác nhân có thể kiếm tiền từ quyền truy cập theo nhiều cách, bao gồm bán lại hoặc di chuyển ngang.
Hàm ý đối với hệ sinh thái tiền mã hóa rộng lớn hơn
Cryptojacking thường bị xem nhẹ như một mối phiền toái chứ không phải một mối đe dọa nghiêm trọng, nhưng nó mang lại hậu quả thực sự cho ngành. Việc đào bất hợp pháp làm phồng tỷ lệ băm của mạng lưới theo những cách bóp méo phân tích kinh tế, tiêu thụ năng lượng mà doanh nghiệp phải trả mà không hề hay biết, và — quan trọng nhất — nuôi dưỡng một câu chuyện rằng hạ tầng tiền mã hóa vốn gắn liền với hoạt động tội phạm. Câu chuyện đó đã được các cơ quan quản lý và nhà lập pháp cân nhắc áp đặt các hạn chế đối với hoạt động đào và đặc biệt là đối với các tài sản tập trung vào quyền riêng tư, viện dẫn nhiều lần.
Tính chất tải trọng kép của chiến dịch này cũng đáng được chú ý. Gh0st RAT cung cấp quyền truy cập từ xa dai dẳng, nghĩa là trình đào Monero có thể chỉ là triệu chứng hữu hình của một cuộc xâm phạm sâu hơn. Các tổ chức phát hiện phần mềm đào trên máy chủ cơ sở dữ liệu nên coi máy chủ đó như đã bị xâm phạm hoàn toàn thay vì chỉ đơn giản xóa trình đào.
Điều gì sẽ tiếp theo
Hãy kỳ vọng FortiGuard và các nhà cung cấp bảo mật khác sẽ mở rộng phạm vi chữ ký cho họ trình đào cụ thể này và từ điển mật khẩu. Hệ quả lớn hơn là việc công bố này có khả năng đẩy nhanh hai xu hướng: việc áp dụng rộng rãi gia cố cơ sở dữ liệu tự động và thực thi chính sách mật khẩu, cùng với việc tăng cường giám sát lưu lượng mạng đi ra từ các tầng cơ sở dữ liệu, vốn không bao giờ được phép kết nối hợp pháp tới các bể đào. Đối với ngành tiền mã hóa, sự việc này là lời nhắc nhở rằng các trường hợp sử dụng hợp pháp của đồng tiền riêng tư vẫn gắn quyện với sức hấp dẫn của chúng đối với những kẻ lạm dụng — một căng thẳng sẽ tiếp tục khiến Monero nằm trong tầm ngắm của các cơ quan quản lý ngay cả khi những người phòng thủ nỗ lực đóng lại cánh cửa đối với các cuộc xâm nhập vét cạn.
