前言：Microsoft SQL服務(wù)器被黑客入侵，帶寬被竊取，用戶卻無法察覺。信息時(shí)代，保障數(shù)據(jù)安全尤為重要。
黑客通過使用廣告軟件包、惡意軟件，甚至入侵Microsoft SQL Server，將電腦服務(wù)器轉(zhuǎn)換為通過在線的代理服務(wù)器，從而產(chǎn)生收入。
為了竊取設(shè)備的帶寬，黑客安裝了名為“proxyware”的軟件，該軟件會將設(shè)備的可用互聯(lián)網(wǎng)帶寬分配為代理服務(wù)器，遠(yuǎn)程用戶可以將其用于各種任務(wù)，如測試、情報(bào)收集、內(nèi)容分發(fā)或市場研究。Botters也喜歡用代理服務(wù)，因?yàn)檫@樣他們可以訪問未被在線零售商列入黑名單的住宅IP地址。
作為共享帶寬的回報(bào)，設(shè)備所有者可以從向客戶收取的費(fèi)用中獲得抽成。例如，Peer2Profit服務(wù)顯示，用戶通過在數(shù)千臺設(shè)備上安裝該公司的軟件，每月最高可以賺到6000美元。
黑客通過為用戶設(shè)置電子郵件地址來獲得帶寬補(bǔ)償，而用戶可能只會察覺到網(wǎng)絡(luò)速度或連接有時(shí)會變慢。
Ahnlab公司觀察到，黑客通過捆綁廣告軟件包和其他惡意軟件，為Peer2Profit和IPRoyal等服務(wù)安裝了代理軟件。
惡意軟件檢查代理客戶端是否在主機(jī)上運(yùn)行，如果停用，它可以使用 "p2p_start 函數(shù)來啟動。
對于 IPRoyal 的 Pawns，惡意軟件更喜歡安裝客戶端的 CLI 版本而不是 GUI 版本，因?yàn)槠淠康氖亲屧撨M(jìn)程在后臺隱蔽地運(yùn)行。
在最近的觀察中，黑客使用DLL形式的Pawns，以編碼的字符串形式提供他們的電子郵件和密碼，并用 "Initialize ”和 "startMainRoutine "函數(shù)來啟動。
在設(shè)備上安裝代理軟件后，該軟件會將其添加為可用代理，遠(yuǎn)程用戶可以使用它在互聯(lián)網(wǎng)上進(jìn)行任何操作。這也意味著其他黑客可以在受害者不知情的情況下使用這些代理進(jìn)行非法活動。
感染Microsoft SQL服務(wù)器
根據(jù) 報(bào)告，惡意軟件運(yùn)營商使用這種方案來創(chuàng)收，還會針對易受攻擊的 MS-SQL 服務(wù)器安裝 Peer2Profit 客戶端。
這種情況自 2022 年 6 月上旬以來一直在發(fā)生，從受感染系統(tǒng)中檢索到的大多數(shù)日志都顯示存在一個(gè)名為“sdk.mdf”的 UPX 打包數(shù)據(jù)庫文件。
在Microsoft SQL服務(wù)器更常見的威脅加密貨幣劫持和加密貨幣礦工后臺挖礦，也有黑客通過Cobalt Strike信標(biāo)將服務(wù)器作為進(jìn)入網(wǎng)絡(luò)的樞紐點(diǎn)。
使用代理軟件客戶端背后的原因可能是不被發(fā)現(xiàn)，這樣可以獲取更大的利潤。不過，目前還不清楚黑客通過這種方法賺了多少錢。
來源：安全圈
