Новый бэкдор Maggie позволяет включить «режим Бога» на сервере

Исследователи безопасности обнаружили новое вредоносное ПО, нацеленное на серверы Microsoft SQL. Бэкдор Maggie уже заразил сотни компьютеров по всему миру.

Maggie управляется с помощью SQL-запросов. Его возможности включают в себя взлом входа администратора на другие серверы Microsoft SQL и дублирование в качестве моста в сетевую среду сервера, поясняет Securitylab.

Бэкдор был обнаружен аналитиками из DCSO CyTec. Данные телеметрии показывают, что Maggie более распространен в Южной Корее, Индии, Вьетнаме, Китае, России, Таиланде, Германии и США.

Анализ вредоносного ПО показал, что Maggie маскируется под DLL-библиотеку расширенной хранимой процедуры (Extended Stored Procedure DLL) с цифровой подписью компании DEEPSoft Co. Ltd, которая базируется в Южной Корее.

Файлы расширенных хранимых процедур расширяют функциональные возможности SQL-запросов за счет использования API, который принимает аргументы удаленного пользователя и отвечает неструктурированными данными. Это позволяет обеспечить удаленный доступ к бэкдору с помощью набора из 51 команды.

Команды позволяют Maggie выполнять различные действия, в том числе:

• запрашивать системную информацию;
• запускать программы;
• взаимодействовать с файлами и папками;
• включать службы удаленного рабочего стола (TermService);
• запускать прокси-сервер SOCKS5 для маршрутизации всех сетевых пакетов, что делает бэкдор незаметным
• настраивать переадресацию портов;
• подбирать пароль администратора;
• добавлять жестко закодированную учетную запись оператора бэкдора.

Также 4 команды «Exploit» позволяют киберпреступнику эксплуатировать известные уязвимости для определенных целей, например, добавить нового пользователя.

Вредоносная программа также предлагает функцию перенаправления TCP, которая позволяет удаленному злоумышленнику подключаться к любому IP-адресу, доступному зараженному серверу MS-SQL. Если эта функция включена, Maggie перенаправляет любое входящее соединение на установленный IP-адрес и порт.

В настоящее время некоторые детали остаются неизвестными, например, кто стоит за атаками, как используется Maggie после заражения и как он внедряется на серверы.