弱口令成突破口：门罗币挖矿攻击瞄准公网数据库
TREE NEWS 报道， 安全研究机构 FortiGuard Labs 披露，一个黑客组织持续扫描暴露在公网的微软 SQL Server 数据库，并利用一份包含逾 2,700 个常见弱口令的字典进行暴力破解。一旦得手，攻击者会在受害主机上同时部署门罗币（XMR）挖矿程序与 Gh0st RAT 远程控制木马，将企业数据库服务器悄然改造为持续运转的挖矿节点，同时保留对主机的远程操控能力。
该攻击活动至少自 2026 年 10 月初起持续至今，其目标选择颇具代表性。面向公网的 SQL Server 实例是互联网上数量最庞大、却最不受重视的企业基础设施之一：往往由应用团队临时搭建，很少进行安全加固，几乎从不针对对外挖矿流量进行监控。这一组合使其成为攻击者眼中低成本、高回报的计算资源来源。
门罗币为何仍是挖矿攻击的首选
门罗币的设计使其始终是加密劫持（cryptojacking）操作的默认币种。其对 CPU 友好的 RandomX 工作量证明算法，使攻击者无需 ASIC 或 GPU，即可在通用服务器硬件上实现有利可图的挖矿；而隐私特性则增加了追踪资金流向的难度。对于已攻陷主机的攻击者而言，安装矿机的边际成本几乎为零，只要入侵未被发现，收益便会持续累积。
- 门槛低：RandomX 算法奖励普通 x86 服务器 CPU，而 SQL Server 主机通常算力充足。
- 隐私性强：环签名与隐匿地址使挖矿所得资金流向难以追溯。
- 双重载荷：矿机与 Gh0st RAT 并存，说明攻击者可能通过多种方式变现，包括转售访问权限或横向移动。
对加密行业的影响
加密劫持常被视为“小麻烦”而非严重威胁，但它对行业有着切实的负面影响。非法挖矿会以扭曲经济分析的方式抬高全网算力，消耗企业并不知情却需买单的能源，更重要的是，它为“加密基础设施与犯罪活动天然绑定”的叙事提供了素材。这一叙事已被监管机构和立法者反复引用，用以论证对挖矿业务、尤其是对隐私币的限制措施。
本次攻击的双重载荷特征同样值得关注。Gh0st RAT 提供持久化远程访问，意味着门罗币矿机可能只是更深层入侵的可见症状。发现数据库服务器存在挖矿程序的企业，应将主机视为已完全失陷，而非简单删除矿机了事。
后续展望
预计 FortiGuard 及其他安全厂商将扩大针对该矿机家族及口令字典的特征库覆盖。更具影响的是，此次披露可能加速两大趋势：一是自动化数据库加固与口令策略执行的广泛采用，二是对数据库层对外网络流量的更严格审查——毕竟数据库本不应合法连接至矿池。对加密行业而言，这一事件再次提醒人们，隐私币的正当用途与其对滥用者的吸引力始终纠缠不清，这一张力将使门罗币持续处于监管视野之中，即便防守方正在努力堵上暴力破解的入口。
