币圈界报道：

在暴露的 SQL 服务器上发现门罗币矿工与 Gh0st RAT 木马

FortiGuard Labs 将一起加密劫持和远程访问活动与面向互联网的 Microsoft SQL 服务器联系起来。该实验室的研究员 Xiaopeng Zhang 于 2026 年 11 月 12 日发布报告，详细阐述了这一操作过程。此前，研究人员于 2026 年 10 月初发现了相关活动。

据报告称，攻击者在受感染的机器上植入门罗币（Monero）挖矿程序和一种 Gh0st RAT 变体。FortiGuard Labs 指出，攻击者利用弱口令安装伪装成 MicrosoftEdgeUpdate.exe 的门罗币挖矿程序以及 Gh0st RAT 变体。目前，该活动尚未关联到特定的攻击组织或确认受害者数量。

关键事实

发布时间：FortiGuard Labs 于 2026 年 11 月 12 日发布了由研究员 Xiaopeng Zhang 撰写的调查报告，基于 2026 年 10 月初的发现。 攻击工具：攻击工具尝试针对暴露的数据库使用预定义的登录凭据，密码列表包含超过 2,700 个条目，用户名包括“sa”和“admin”等。 入侵步骤：一旦获得访问权限，攻击者会启用 xp_cmdshell，并运行下载器从攻击者控制的服务器拉取门罗币挖矿程序和 Gh0st RAT。 挖矿组件：名为 MicrosoftEdgeUpdate.exe 的挖矿载荷通过 XMRig 利用服务器 CPU 进行门罗币挖矿。 活动持续时间：援引 Crypto Briefing 的报道，PANews 指出该活动至少自 2026 年 10 月初以来一直活跃。

入侵过程详解

入侵的入口点是数据库登录本身。工具会搜索可从互联网访问的 SQL 服务器，并尝试使用预定义列表中的凭据进行登录，将密码与管理风格的用户名配对。一旦进入系统，攻击者会开启 xp_cmdshell，这是 SQL Server 的一项功能，允许从数据库引擎内部打开 Windows 命令提示符。

微软文档指出，新的 SQL Server 安装默认禁用 xp_cmdshell，且在大多数情况下应保持关闭状态。虽然某些旧应用程序仍依赖此功能，但公司建议仅在运行所需任务时开启它。通过该功能发出的命令继承 SQL Server 服务账户的安全权限，因此微软建议将其访问权限限制为高特权用户，或在非管理员需要时使用低特权代理账户。此外，启用或使用 xp_cmdshell 可能会触发审计工具报警。

从该命令行界面中，下载器从攻击者控制的服务器检索两个有效载荷：

MicrosoftEdgeUpdate.exe：挖矿组件，利用机器 CPU 通过 XMRig 挖掘门罗币。其配置中包含一个钱包地址和三个挖矿池地址。 winlogon.exe：一种 Gh0st RAT 变体，具备键盘记录、文件管理和远程命令功能。屏幕截图和远程桌面功能通过插件提供，但这些插件未出现在分析的样本中。

持久化机制包括注册表项、Windows 服务和计划任务。根据 Zhang 的分析，RAT 的计划任务每 30 分钟运行一次。研究人员在未连接到实时命令服务器的情况下分析了 RAT，因为该基础设施在分析前已被下线。

两家媒体均描述了相同的两个有效载荷和相同的 xp_cmdshell 滥用向量。Crypto.news 补充了 RAT 样本从未连接到命令服务器的细节；而 PANews 则明确指出，该活动尚未归因于特定行为体，这一点也体现在 Crypto.news 未识别攻击者的报道中。

为何值得关注

暴露的数据库仍然是攻击者获取计算资源最廉价的方式之一。此次行动表明，同一台服务器可以同时服务于两个目的：安静的挖矿收益和数据窃取的持久立足点。有效载荷的命名方式暴露了其真实意图——在一台数据库服务器上出现名为 Edge 更新器的程序是极不寻常的。

这种模式并不新鲜。2024 年 7 月，攻击者利用易受漏洞影响的文件共享服务器传播门罗币矿工和远程访问恶意软件，AhnLab 记录了在 Rejetto HTTP File Server 上安装的 XMRig、XenoRAT 和 Gh0stRAT，涉及至少四名攻击者，包括 LemonDuck 组织。2026 年 8 月，Apple 在 Screen Sharing 被利用以安装门罗币矿工后修复了 macOS 漏洞，荷兰国家网络安全中心也在 8 月 12 日的公告中确认了对多个系统的入侵。2025 年 1 月，CrowdStrike 招聘骗局也通过虚假的工作申请下载投递了 XMRig。每个案例的最终结果对主机而言都是一样的：承担他人的电费账单，并失去控制权。

后续观察

由于 FortiGuard Labs 尚未公布受害者数量或指明运营商身份，下一个有意义的指标将是其他安全公司是否证实该活动并给出具体数字。在此期间，微软关于除非特定任务需要否则应禁用 xp_cmdshell 的指导原则，仍是数据库管理员的实际控制手段。

市场快照

根据 CoinPaprika 数据（UTC 时间 12:38），2026 年 11 月 14 日，门罗币（XMR）交易价格为 535 美元（₹50,435），24 小时内上涨 0.3%，但一周内下跌 12.6%，市值为 100.8 亿美元，24 小时交易量达 1.155 亿美元。比特币价格为 67,196 美元（₹6,334,264），当日下跌 2.9%，当周下跌 11.4%。这些数据仅为市场信息，并非预测，市场具有波动性和不确定性；这不构成财务建议。

该行动的经济效益依赖于在未拥有主机的设备上安静挖矿，因此检测通常来自服务器管理员注意到 CPU 负载异常，而非来自区块链本身。FortiGuard 的报告在活动首次被发现五周后发布，目前该行动的规模仍是一个未解之谜。

常见问题解答 (FAQ)

攻击者如何进入 SQL 服务器？

根据 FortiGuard Labs 的说法，工具会扫描暴露的数据库并尝试预定义的登录凭据，使用包含超过 2,700 个条目的密码列表，并与 sa 和 admin 等用户名配对。

门罗币矿工伪装成什么？

挖矿载荷名为 MicrosoftEdgeUpdate.exe，利用服务器 CPU 通过 XMRig 挖掘门罗币，其配置中包含一个钱包地址和三个挖矿池地址。

恶意软件如何在受感染机器上保持驻留？

报告描述注册表项、Windows 服务和计划任务作为持久化机制，其中 RAT 的计划任务每 30 分钟运行一次。

受害者数量是否已得到确认？

没有。据 PANews 报道，FortiGuard Labs 未提供确认的受害者数量，也未将该活动归因于特定行为体。