Контакты
Подписка 2024
Персональные данные
4 апреля. Персональные данные в 2024 году: регулирование, практика, тенденции
Регистрируйтесь на онлайн-конференцию!

Новый бэкдор Maggie позволяет включить «режим Бога» на сервере

06/10/22

Исследователи безопасности обнаружили новое вредоносное ПО, нацеленное на серверы Microsoft SQL. Бэкдор Maggie уже заразил сотни компьютеров по всему миру.

Maggie управляется с помощью SQL-запросов. Его возможности включают в себя взлом входа администратора на другие серверы Microsoft SQL и дублирование в качестве моста в сетевую среду сервера, поясняет Securitylab.

Бэкдор был обнаружен аналитиками из DCSO CyTec. Данные телеметрии показывают, что Maggie более распространен в Южной Корее, Индии, Вьетнаме, Китае, России, Таиланде, Германии и США.

content-img(552)

Анализ вредоносного ПО показал, что Maggie маскируется под DLL-библиотеку расширенной хранимой процедуры (Extended Stored Procedure DLL) с цифровой подписью компании DEEPSoft Co. Ltd, которая базируется в Южной Корее.

Файлы расширенных хранимых процедур расширяют функциональные возможности SQL-запросов за счет использования API, который принимает аргументы удаленного пользователя и отвечает неструктурированными данными. Это позволяет обеспечить удаленный доступ к бэкдору с помощью набора из 51 команды.

Команды позволяют Maggie выполнять различные действия, в том числе:

  • запрашивать системную информацию;
  • запускать программы;
  • взаимодействовать с файлами и папками;
  • включать службы удаленного рабочего стола (TermService);
  • запускать прокси-сервер SOCKS5 для маршрутизации всех сетевых пакетов, что делает бэкдор незаметным
  • настраивать переадресацию портов;
  • подбирать пароль администратора;
  • добавлять жестко закодированную учетную запись оператора бэкдора.

Также 4 команды «Exploit» позволяют киберпреступнику эксплуатировать известные уязвимости для определенных целей, например, добавить нового пользователя.

Вредоносная программа также предлагает функцию перенаправления TCP, которая позволяет удаленному злоумышленнику подключаться к любому IP-адресу, доступному зараженному серверу MS-SQL. Если эта функция включена, Maggie перенаправляет любое входящее соединение на установленный IP-адрес и порт.

В настоящее время некоторые детали остаются неизвестными, например, кто стоит за атаками, как используется Maggie после заражения и как он внедряется на серверы.

Темы:MicrosoftУгрозыбэкдорыSQL
NGFW
9 апреля. Отечественные NGFW: как защитить облачную инфраструктуру и настроить обнаружение кибератак
Участвуйте и представляйте решения!
Статьи по темеСтатьи по теме

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Спецпроекты журнала "Информационная безопасность"
Станьте автором издания!

Еще темы...

More...