¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
SQL Server con el puerto 1433 abierto y una contraseña débil es la puerta que una campaña activa está forzando para instalar Gh0st RAT y un minero de Monero en servidores Windows. No hay un fallo nuevo del programa de Microsoft en esta historia. Hay una lista de más de 2.700 contraseñas probadas una por una, con 500 intentos en paralelo, hasta que una abre.
FortiGuard Labs, el equipo de investigación de Fortinet, descubrió la operación a principios de octubre de 2026 y publicó el análisis completo el 12 de noviembre, firmado por el investigador Xiaopeng Zhang. La calificación del laboratorio es de severidad alta. El informe no da una cifra de servidores comprometidos ni atribuye la campaña a un grupo concreto: ese dato no existe en la fuente y cualquier número que circule sin esa firma es invento.
El puerto 1433 y una lista de 2.700 contraseñas
La cadena arranca lejos de la víctima. Un programa escrito en Go, con el nombre dllhost.exe, pide a un servidor controlado por los atacantes un rango de direcciones IP, lo convierte en un bloque de red y lo barre con Naabu, un escáner de puertos de código abierto integrado en el propio código malicioso. Cada dirección que responde en el puerto TCP 1433, el puerto por defecto de SQL Server, queda anotada en un archivo de resultados. Terminado un rango, el programa pide otro. El barrido no tiene pausa programada.
Contra cada servidor localizado entra dwm.exe, una herramienta construida en .NET que prueba los usuarios «sa» y «admin» contra el archivo de contraseñas: más de 2.700 claves habituales, con un máximo de 500 hilos de intento al mismo tiempo. CSO Online publicó la valoración de Shane Barney, director de seguridad de la información de Keeper Security, sobre este punto: una base de datos visible desde internet puede ser un descuido, pero una credencial fija y adivinable convierte ese descuido en una vulnerabilidad crítica, porque el atacante gana control total sin explotar un solo fallo complejo.
El inicio de sesión correcto no da acceso a unas tablas. Da el servidor entero. Tras entrar, la herramienta ejecuta las órdenes T-SQL, la variante del lenguaje SQL propia de Microsoft, guardadas en un archivo llamado 2018.sql. Esas órdenes activan xp_cmdshell, la función que permite lanzar comandos del sistema operativo desde la base de datos, descargan un ejecutable en la carpeta pública de Windows y crean una tarea diaria con el nombre Microsoft_UPDATES. Otra copia queda en la carpeta de inicio, para arrancar con el equipo.
Un minero con nombre de actualización y un troyano con 30 órdenes
Instalado en el servidor, ese ejecutable actúa como cargador. Baja más piezas desde un servidor FTP de los atacantes y registra el servidor conquistado en su sistema: dirección IP pública, país, edición de Windows, procesador, memoria, fecha de instalación del sistema, usuario y nombre del equipo. Con ese inventario, el operador sabe qué máquina tiene y cuánto rinde.
La primera pieza se llama MicrosoftEdgeUpdate.exe y no actualiza nada. Es un minero basado en XMRig que pone el procesador del servidor a minar Monero para una cartera de los atacantes, con conexión a grupos de minería como Kryptex. Infosecurity Magazine destacó en su cobertura un detalle del segundo componente: el troyano revisa el equipo contra una lista de 78 productos de seguridad por nombre de proceso y también roba datos de la aplicación de mensajería QQ.
Ese segundo componente se llama winlogon.exe, imitando un proceso legítimo de Windows, y es una variante de Gh0st RAT, un troyano de acceso remoto con registro de teclas, robo de archivos, consola remota y más de 30 órdenes de control. Los complementos añaden captura de pantalla y escritorio remoto, y la lista de órdenes incluye borrar los registros de eventos del sistema. Su servidor de control ya estaba apagado cuando Fortinet hizo el análisis, así que esa parte del estudio se hizo sobre el código, sin ejecutar la comunicación.
Quedarse dentro es la otra mitad del diseño. El troyano se anota en la clave Run del registro de Windows, se instala como servicio y crea una tarea que lo relanza cada 30 minutos. El minero cumple un papel que Barney describió en CSO Online como cortina de humo: un servidor ocupado minando llama la atención por el consumo, y esa distracción tapa la presencia del acceso remoto, que es el daño duradero. El patrón recuerda a los servidores N-central que terminaron minando Monero para un operador distinto: la moneda cambia de manos, el método de quedarse es el mismo.
La defensa no pide comprar nada exótico. Jason Soroko, de Sectigo, lo resumió en CSO Online con tres movimientos: retirar el acceso directo desde internet a SQL Server, limitar las conexiones a sistemas aprobados y exigir credenciales fuertes y únicas, con xp_cmdshell apagado salvo necesidad real. Fortinet publicó los indicadores de compromiso de la campaña y la firma de detección MS.SQL.Server.Brute.Force.Login para sus equipos. El dato que manda es otro: mientras el servidor de los atacantes siga entregando rangos nuevos, el escáner seguirá tocando puertos 1433 en busca de la próxima contraseña de la lista que alguien dejó puesta.
Fuente: Fortinet
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
