Chiński backdoor atakuje SQL Server
Badacze z firmy ESET uważają, że nowy zaawansowany backdoor, który atakuje SQL Server to dzieło chińskiej grupy APT17. Szkodliwy kod daje napastnikowi dostęp do bazy danych w taki sposób, że połączenie nie jest zapisywane w logach systemu. Grupa APT17 znana jest też pod nazwami Winniti Group, Axiom i Ke3chang.
Specjaliści z ESET twierdzą, że zbadana przez nich wersja backdoora, zwana Skip-2.0 jest podobna do wcześniejszych narzędzi produkowanych przez Winnti Group, takich jak backdoor PortReuse czy trojan ShadowPad.
Ten backdoor pozwala napastnikowi na potajemne kopiowanie, modyfikowanie i kasowanie zawartości bazy danych. Może być użyty, na przykład, do manipulowania wirtualnymi pieniędzmi używanymi w grach. Już wcześniej informowano o takich atakach z wykorzystaniem narzędzi Winnti, ostrzega ESET.
Podobnie jak miało to miejsce w przypadku PortReuse i ShadowPad szkodliwy kod jest instalowany w C:\Windows\System32\TSVIPSrv.DLL. Testy wykazały, że skip-2.0 skutecznie atakuje różne wersje SQL Servera, w tym edycje 11 i 12. Wersja 12, która pojawiła się w roku 2014, wciąż jest najpopularniejszą edycją SQL Servera.
Warto w tym miejscu przypomnieć, że PortReuse został znaleziony w komputerach sprzedawców oprogramowania i sprzętu w Azji Południowej, a ShadowPad zaatakował w 2017 roku południowokoreańskiego producenta oprogramowania, firmę NetSarang.
Komentarze (2)
Usher, 22 października 2019, 21:08
Wypadałoby dodać, że:
* Nie chodzi o jakiś nieokreślony serwer, tylko o MS SQL Server.
* W katalogach systemowych nic się samo nie instaluje, więc przydałaby się choć krótka wzmianka o tym, w jaki sposob trafia tam ten szkodnik.
Sławko, 23 października 2019, 00:37
Dokładnie o tym samym chciałem napisać. Uprzedziłeś mnie, więc daję ci plusa.