Uma campanha ativa no início de outubro de 2026 tem como alvo instâncias do Microsoft SQL Server (SQL é a sigla de Structured Query Language, linguagem de consulta estruturada) expostas à internet. O ponto de entrada é o dllhost.exe, um binário escrito em Go (linguagem de programação) e compactado com UPX (ferramenta de compactação de executáveis), que incorpora o escaneador de portas de código aberto Naabu v2.
O malware solicita um intervalo de alvos em hxxp://site.vietnam852[.]com:88/ip.php e converte o endereço IP (Internet Protocol) devolvido em um bloco CIDR /16 fixo no código. Em seguida, o Naabu envia sondagens TCP SYN (pacotes de início de conexão do Protocolo de Controle de Transmissão) para a porta 1433 em endereços aleatórios desse bloco e grava os hosts que respondem em %temp%\Result.txt. Após cada intervalo, o malware solicita um novo.
O binário também baixa oito arquivos de apoio para a pasta %Temp%: 2018.sql, dwm.exe, go.bat, go.vbs, out.bat, user.txt, pass.txt e sqlcmd.exe.
Para se manter ativo no sistema (persistência), ele cria uma tarefa agendada que roda a cada 30 minutos. O nome da tarefa imita uma tarefa de atualização do Microsoft Edge: MicrosoftEdgeUpdateTaskMachineUA{CEC15D9B-F4BB-446A-B6E1-C61E74B016A2}.
O script go.vbs inicia o go.bat, que usa o findstr.exe para procurar hosts abertos e, em seguida, inicia o dwm.exe. Apesar do nome que lembra um componente do Windows, o dwm.exe é uma ferramenta .NET (plataforma de desenvolvimento da Microsoft) cujo nome de montagem é CSQL.exe.
Ela executa um ataque de força bruta contra cada host listado. Usa o user.txt, que contém contas como sa e admin, e o pass.txt, com mais de 2.700 senhas. Executa até 500 threads (fluxos de execução simultâneos).
Após um login bem-sucedido, uma segunda instância do dwm.exe executa o 2018.sql em lotes separados por GO. O script ativa o xp_cmdshell, recurso que dá ao invasor a capacidade de executar comandos do sistema operacional de dentro do banco de dados.
Em seguida, baixa o down.exe para C:\Users\Public, renomeia o arquivo para Google.exe ou payload.exe e o executa. Também cria uma tarefa diária chamada Microsoft_UPDATES.
Um lote separado extrai um executável embutido na variável @DATA para o arquivo Secs.exe e o copia para a pasta de Inicialização.
A FortiGuard Labs observou que os invasores adivinham credenciais e, em seguida, usam comandos T-SQL (Transact-SQL, extensão do SQL usada pelo SQL Server) nativos para instalar um minerador de Monero e uma variante do Gh0st RAT (trojan de acesso remoto) nos hosts comprometidos.
Servidores Microsoft SQL sequestrados
Todos esses executáveis são variantes de um mesmo downloader. O Secs.exe baixa arquivos um por vez do servidor FTP (Protocolo de Transferência de Arquivos) ftp.vietnam852[.]com, usando FtpGetFileW(), e executa cada um com ShellExecuteW().
Ele adiciona outra tarefa com nome inspirado no Edge, a MicrosoftEdgeUpdateTaskMachineCore{4C33CE3F-7722-4257-AF83-351A4911C159}, que roda diariamente às 01:00.
Também envia uma requisição HTTP (Protocolo de Transferência de Hipertexto) POST que registra o host no back-end. Os dados de registro incluem o IP público, o país, a edição do Windows, a CPU (unidade central de processamento) e a memória RAM (memória de acesso aleatório), o horário de instalação, o nome de usuário e o nome do host.
O primeiro payload, MicrosoftEdgeUpdate.exe, é protegido pelo Themida e por um empacotador LZSS (algoritmo de compressão Lempel-Ziv-Storer-Szymanski) personalizado. Trata-se de um minerador de Monero que usa a CPU da vítima.
O tráfego vai para xmr-ru.kryptex.network, e o malware informa o status da mineração ao invasor por meio de uma requisição HTTP GET com o agente de usuário “XMRig Reporter”.
O segundo payload, winlogon.exe, é uma variante do Gh0st RAT protegida pelo Themida. Seus servidores de comando e controle (C2) já estavam fora do ar durante a análise, por isso os pesquisadores puderam examinar apenas a amostra desempacotada de forma estática.
A persistência é garantida pela chave Run do HKLM (HKEY_LOCAL_MACHINE), por um serviço do Windows e por uma tarefa agendada de 30 minutos. O malware tem dois endpoints de C2 fixos no código: server.vietnam852[.]com:8000 e www.swordaa[.]com:8000.
O RAT oferece mais de 30 comandos de controle. Eles cobrem keylogging (registro de teclas digitadas), transferência de arquivos, download e execução, gerenciamento de processos e serviços, edições no registro e limpeza do log de eventos.
Captura de tela e área de trabalho remota vêm de plugins. O malware coleta a impressão digital do host e verifica 78 nomes de processos de produtos de segurança, incluindo MsMpEng.exe, avp.exe e 360tray.exe.
Ele também rouba dados do QQ do diretório \Tencent\Users. Juntas, essas características sugerem uma linhagem de malware de língua chinesa reaproveitada tanto para acesso com fins de espionagem quanto para monetização.
As equipes de defesa nunca devem expor a porta 1433 à internet. Também devem renomear ou desativar a conta sa, exigir senhas longas e exclusivas com políticas de bloqueio e manter o xp_cmdshell desabilitado.
As equipes devem procurar tarefas de atualização do Edge que apontem para C:\Users\Public ou E:, pelos arquivos Secs.exe, Google.exe e payload.exe e pelo tráfego para vietnam852[.]com. Qualquer servidor em que o xp_cmdshell tenha sido ativado de forma inesperada deve ser tratado como comprometido.
Indicadores de comprometimento (IOCs)
Observação: endereços IP e domínios foram intencionalmente desfigurados (ex.: [.]) para evitar resolução ou links acidentais. A conversão deve ser refeita apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (gerenciamento de informações e eventos de segurança).
