Os pesquisadores de segurança cibernética do Guardicore Labs publicaram hoje um relatório detalhado algumas ameaças  que atacam servidores Windows MS-SQL e PHPMyAdmin em todo o mundo.

Apelidado de Nansh0u, a ameaça está supostamente sendo ligada a um grupo chinês de hackers do estilo APT que já infectou cerca de 50.000 servidores e está instalando um rootkit sofisticado em modo kernel em sistemas comprometidos para evitar que o malware seja encerrado.

A ação foi detectada pela primeira vez no início de abril e encontrada entregando 20 versões de carga útil diferentes em vários provedores de hospedagem.

O criminoso usa a técnica de força bruta, depois de encontrar servidores Windows MS-SQL e PHPMyAdmin acessíveis ao público, usando um scanner de porta simples.

Após a autenticação de login bem-sucedida com privilégios administrativos, os invasores executam uma sequência de comandos MS-SQL no sistema comprometido para baixar a carga maliciosa de um servidor de arquivos remoto e executá-lo com privilégios SYSTEM.

Em segundo plano, a carga útil aproveita uma vulnerabilidade de escalonamento de privilégios conhecida (CVE-2014-4113) para obter privilégios SYSTEM.

"Usando este privilégio do Windows, o criminoso injeta código no processo do Winlogon. O código injetado cria um novo processo que herda os privilégios do Winlogon SYSTEM, fornecendo permissões equivalentes às da versão anterior."

Em seguida, a carga útil instala um malware de mineração de criptografia em servidores comprometidos para minerar a criptomoeda TurtleCoin.

Além disso, o malware também protege seu processo impedindo que seja encerrado usando um rootkit de modo kernel assinado digitalmente.

"Descobrimos que o processo tinha uma assinatura digital emitida pela autoridade de certificação Verisign. O certificado  leva o nome de uma falsa empresa chinesa - Hangzhou Hootian Network Technology".

Os pesquisadores também divulgaram uma lista completa de IoCs (indicadores de comprometimento) e um script gratuito baseado no PowerShell que os administradores do Windows podem usar para verificar se seus sistemas estão infectados ou não.

Como o ataque depende de combinações fracas de nome de usuário e senha para servidores MS-SQL e PHPMyAdmin, os administradores são aconselhados a sempre manter uma senha forte e complexa para suas contas.