SQL 서버 침입해 모네로 채굴기·원격제어 악성코드 설치

이준한 기자 2026.11.14 03:50

마이크로소프트($MSFT) SQL Server를 노린 공격이 모네로 채굴기와 Gh0st RAT 변종을 함께 설치했다. 공격자는 2700개가 넘는 비밀번호를 대입해 로그인한 뒤 데이터베이스 기능으로 윈도 명령을 실행했다.

토포AI로 이 기사 더 깊이 읽기

유선망에 연결된 컴퓨터 본체와 회전하는 냉각팬 / TokenPost.ai

외부에 공개된 마이크로소프트($MSFT) SQL Server를 노린 공격이 서버에 모네로(XMR) 채굴기와 원격제어 악성코드 Gh0st RAT를 함께 설치했다. 공격자는 데이터베이스 기능을 이용해 윈도 명령을 실행하고 악성 파일을 내려받았다.

이 캠페인은 2026년 10월 초 시작됐다. 포티가드랩스(FortiGuard Labs)는 12일 공개한 기술 분석에서 공격 흐름을 설명했다.

◇ 비밀번호 대입 뒤 SQL 명령 실행

공격자는 인터넷에 노출된 SQL Server를 찾았다. 악성 파일에 포함된 Naabu 스캐너로 기본 접속 포트인 TCP 1433에 응답하는 서버를 탐색했다.

이어 ‘sa’와 ‘admin’ 같은 사용자 이름, 2700개가 넘는 비밀번호 목록을 대입해 로그인을 시도했다. 분석에 제시된 진입 경로는 서버 탐색과 비밀번호 대입이다.

로그인에 성공한 뒤에는 T-SQL 명령으로 ‘xp_cmdshell’을 활성화했다. 이 기능을 켜면 데이터베이스에서 윈도 명령을 실행할 수 있다.

공격자는 이 기능을 이용해 추가 악성 파일을 내려받아 실행했다. 로더는 예약 작업과 레지스트리 설정 등을 이용해 악성 파일이 계속 실행되도록 했다.

일부 파일과 예약 작업에는 마이크로소프트 엣지 업데이트를 연상시키는 이름이 붙었다. ‘MicrosoftEdgeUpdate.exe’라는 파일도 브라우저 업데이트가 아니라 채굴기였다.

이 파일은 XMRig 기반으로 감염된 서버의 CPU를 사용해 모네로를 채굴했다. 포티가드랩스는 분석에서 채굴 풀과 통신하는 모습도 제시했다.

◇ 채굴기와 함께 설치된 원격제어 도구

함께 배포된 ‘winlogon.exe’는 Gh0st RAT 변종으로 확인됐다. 포티가드랩스가 분석한 파일에는 키 입력 기록과 데이터 탈취 기능, 30개가 넘는 제어 명령이 포함됐다.

화면 캡처와 원격 데스크톱은 플러그인으로 제공되는 기능이다. 이번에 분석한 파일 자체에서 확인된 기능과는 구분된다.

분석 당시 Gh0st RAT의 명령·제어 서버는 이미 오프라인이었다. 연구진은 악성 파일을 정적으로 분석했으며 실제 감염 서버와 제어 서버 사이에 오간 통신 내용까지 확인하지는 못했다.

셰인 바니(Shane Barney) 키퍼시큐리티(Keeper Security) 최고정보보호책임자는 CSO 온라인 인터뷰에서 “인터넷에 노출된 데이터베이스는 기술 부채나 설정 오류로 의도치 않게 생길 수 있지만, 고정된 상시 자격 증명에 의존하면 그 노출이 중대한 취약점이 된다”고 말했다. 그는 채굴 활동이 원격제어 도구를 통한 장기 접근을 가리는 ‘연막’으로 쓰일 수 있다고 덧붙였다.

마이크로소프트는 SQL Server 보안 문서에서 xp_cmdshell을 기본적으로 비활성화하고 일반적으로 계속 꺼 두도록 안내한다. 필요한 경우에도 실제 작업 시간에만 활성화할 것을 권고한다.

SQL Server 방화벽은 승인된 사용자나 시스템에만 데이터베이스 엔진 접근을 허용하도록 설정해야 한다고 마이크로소프트는 방화벽 안내에서 설명한다.