近期，阿里云云安全中心基于全新的深度威脅檢測功能，監(jiān)測到云上部分用戶的 SQL Server 數(shù)據(jù)庫內(nèi)部隱藏著一種新型的持久化后門程序。

攻擊者利用弱口令不嚴謹配置，以非常簡單的攻擊方法進入數(shù)據(jù)庫，即可植入該后門，更致命的是，該后門高度隱蔽和持久化控制的特性，讓發(fā)現(xiàn)和清除變得困難。

威 脅 特 點

植入簡單

利用數(shù)據(jù)庫弱密碼或不嚴謹配置，攻擊者只需簡單的弱口令利用，即可輕松登錄進用戶的數(shù)據(jù)庫植入該后門程序;

高度隱蔽

該后門完全隱藏在SQL Server數(shù)據(jù)庫進程內(nèi)部，無文件落地、無額外進程，運維管理人員很難定位到后門真正所在;

持久化控制

該惡意后門持續(xù)不斷地向云主機內(nèi)部植入挖礦病毒等其他惡意程序，使管理員陷入病毒殺不完、懷疑有漏洞的困境;

查殺困難

簡單的弱口令漏洞修復(fù)和已有惡意文件查殺根本無法實現(xiàn)對惡意程序來源的清除，即使重啟數(shù)據(jù)庫服務(wù)、甚至重啟云主機，由于真正的隱藏后門沒有完全清除，還是會有病毒源源不斷的被植入主機。

攻 擊 流 程

• 攻擊者利用某些應(yīng)用程序供應(yīng)商的數(shù)據(jù)庫默認密碼及不嚴謹配置入侵SQL Server數(shù)據(jù)庫;
• 在登入數(shù)據(jù)庫后，創(chuàng)建SQL Server代理作業(yè)周期性執(zhí)行SQL語句調(diào)用惡意的用戶自定義函數(shù);
• 用一種特殊的方式將惡意代碼以CLR程序集的形式加載進數(shù)據(jù)庫，實現(xiàn)通過用戶自定義函數(shù)調(diào)用惡意的CLR程序集;
• 已創(chuàng)建的SQL Server代理作業(yè)自動周期性的調(diào)用惡意CLR程序集，實現(xiàn)惡意代碼持久化。

威 脅 分 析

傳統(tǒng)的持久化技術(shù)、惡意代碼加載方式早已被所有主機安全產(chǎn)品列為重點監(jiān)控范圍，很容易被發(fā)現(xiàn)并清除掉：

• 利用操作系統(tǒng)內(nèi)置的計劃任務(wù)、系統(tǒng)服務(wù)、自啟動項等方式進行持久化;
• 直接在磁盤上放置惡意程序文件; 
•  利用系統(tǒng)內(nèi)置的工具程序加載惡意代碼到內(nèi)存中執(zhí)行。

不同的是，此次新型惡意程序?qū)煞NSQL Server內(nèi)置功能巧妙結(jié)合用于惡意軟件持久化，實現(xiàn)了在無文件落地、無額外進程的情況下保持對云主機的持久化控制，將惡意活動完全隱藏在用戶正常業(yè)務(wù)所需要的SQL Server數(shù)據(jù)庫進程內(nèi)部。

那么，這一惡意程序是怎么做到的呢?

利用代理作業(yè)實現(xiàn)無異常周期性循環(huán)執(zhí)行

SQL Server代理作業(yè)原本的用途是方便用戶進行數(shù)據(jù)庫運維，通過設(shè)置執(zhí)行計劃和執(zhí)行步驟來實現(xiàn)周期性的執(zhí)行腳本程序或SQL語句。以往會利用此功能的攻擊者或惡意軟件會直接用代理作業(yè)執(zhí)行一段惡意命令或惡意腳本，極易被運維管理員發(fā)現(xiàn)。

但是該后門的實施者，在創(chuàng)建代理作業(yè)后，僅執(zhí)行了一句很短的SQL語句，將后門隱藏在另一個用戶自定義函數(shù)SqlManagement背后，隱蔽性很強。

作業(yè)名稱 ：

syspolicy_sqlmanagement_history 

執(zhí)行計劃名稱 ：

schedule_sqlmanagement 

執(zhí)行步驟名稱 ：

sqlmanagement 

執(zhí)行步驟內(nèi)容 ：

select dbo.SqlManagement(0) 

利用CLR程序集實現(xiàn)高隱蔽性

代理作業(yè)中的SQL語句要執(zhí)行的惡意的用戶自定義函數(shù)SqlManagement，背后對應(yīng)的是一個CLR程序集 Microsft.SqlServer.Management。該功能原本用途是方便高級數(shù)據(jù)庫管理員擴展數(shù)據(jù)庫功能，攻擊者利用該技術(shù)可以實現(xiàn)在SQL中調(diào)用自定義的惡意C#程序。

以往植入新的CLR程序集需要先將惡意程序?qū)懭氪疟P，很容易被殺毒軟件發(fā)現(xiàn)，攻擊者使用了一種特殊的寫入方式，直接使用SQL寫入C#程序的16進制流，將程序加載到數(shù)據(jù)庫中。結(jié)合SQL Server 代理作業(yè)功能，即可實現(xiàn)在數(shù)據(jù)庫進程內(nèi)部持久化周期執(zhí)行惡意的C#程序。

使用SQL將C#惡意程序直接載入數(shù)據(jù)庫示例：

CREATE ASSEMBLY [Microsft.SqlServer.Management] AUTHORIZATION [dbo] FROM

CREATE ASSEMBLY [Microsft.SqlServer.Management] AUTHORIZATION [dbo] FROM 
0x4D5A90000300000004000000FFFF0000B800000000000000400000000000000000000000000000000000000000000000000000000000000000000000800000000 E1FBA0E00B409CD21B8014CCD21546869732070726F6772616D2063616E6E6F742062652072756E20696E20444F53206D6F64652E0D0D0A2400000000000000 504500004C010300777C565F0000000000000000E00022200B013000001E00000006000000000000 (后續(xù)省略) 

還原出的反編譯的CLR程序集進行分析，發(fā)現(xiàn)核心功能是從用戶自定義函數(shù) SqlManagement 開始，最終調(diào)用至SendAndReceiveFromServerBuffer 函數(shù)從vihansoft.ir周期性下載惡意程序并執(zhí)行，執(zhí)行流程全部隱藏在SQL Server應(yīng)用內(nèi)，安全運維人員難以發(fā)現(xiàn)。

惡意后門檢測與清理

阿里云安全中心用戶，只需進行簡單配置，即可實現(xiàn)對新型SQLServer無文件持久化惡意程序的深度檢測、發(fā)現(xiàn)、溯源和清理。

1.云環(huán)境深度威脅檢測技術(shù)

針對云上主流應(yīng)用進行深度檢測，尤其是針對Microsoft SQL Server等常見應(yīng)用，云安全中心可以深入應(yīng)用內(nèi)部，在不打擾應(yīng)用運行的情況下，對潛在的風(fēng)險項進行掃描，無感發(fā)現(xiàn)無文件、無額外進程的高度隱蔽惡意程序，識別該后門的惡意域名。

2.自動化威脅溯源

云安全中心后臺系統(tǒng)基于多種主機進程行為分析，通過異構(gòu)數(shù)據(jù)關(guān)聯(lián)、圖引擎計算、惡意行為模式聚類等方式，層層推進還原出原始觸發(fā)點或根據(jù)聚類分析結(jié)果進行推理還原，自動化追溯威脅源頭。

3.一點檢測全網(wǎng)聯(lián)動防御

威脅源頭信息共享在全網(wǎng)的“檢測模式”類威脅情報網(wǎng)絡(luò)中，只要在一臺主機上確認該后門特征，其他主機在掃描時也能快速識別該后門程序。同時發(fā)現(xiàn)該后門曾經(jīng)植入的后續(xù)其他惡意文件。

4.一鍵深度清理

針對此類特殊后門，云安全中心支持一鍵清理，可以深入到SQL Server應(yīng)用內(nèi)部，精準處理掉該后門程序。

拓展安全建議

此次發(fā)現(xiàn)的新型持久化惡意程序，攻擊者主要針對云上SQL Server服務(wù)發(fā)動攻擊，除了常規(guī)的弱口令爆破外，入侵者還會嘗試某些應(yīng)用服務(wù)供應(yīng)商的數(shù)據(jù)庫初始化口令。

用戶不單單需要關(guān)注自身管理數(shù)據(jù)庫服務(wù)是否存在弱口令，還需警惕應(yīng)用服務(wù)供應(yīng)商的默認口令被入侵，做好日常安全基線檢查與安全加固，防患于未然。

到此這篇關(guān)于解密新型SQL Server無文件持久化惡意程序的文章就介紹到這了,更多相關(guān)解密SQL Server持久化內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！