Por qué deberías comprobar la seguridad de tus servidores MSSQL
Los ataques de fuerza bruta para adivinar credenciales contra servidores de bases de datos van en aumento, con MSSQL en la parte superior de la lista de objetivos. Esto se debe a que los atacantes pueden usar las muchas características de extensibilidad proporcionadas por el servidor de base de datos de Microsoft para integrarse con otros componentes y características de Windows para escalar sus privilegios y obtener un control total sobre los servidores subyacentes.
La semana pasada, los investigadores de la empresa de seguridad Trustwave datos compartidos recopilados durante un período de cuatro meses por su proyecto global honeypot, una red de sensores distribuidos en todo el mundo para imitar sistemas vulnerables y registrar información sobre ataques. En este ejercicio, los honeypots se han configurado para que actúen como sistemas de administración de bases de datos (DBMS) populares y se ejecuten en sus puertos estándar: MS SQL Server (MSSQL), MySQL, Redis, MongoDB, PostgreSQL, Oracle DB, IBM DB2, Cassandra y Base de sofá.
«Rápidamente se hizo evidente que la actividad de MSSQL era mucho mayor que la de otras bases de datos», dijeron los investigadores. «El desajuste es tan grande (>93 %) que a veces era difícil compararlo con otros DBMS».
Los investigadores encontraron que los ataques vienen en oleadas y picos, pero la intensidad de los ataques de fuerza bruta de MSSQL eclipsa cualquier otra base de datos. Por ejemplo, los segundos servidores de bases de datos más atacados, MySQL y Redis, experimentaron picos de ataque de alrededor de 150 000 intentos de inicio de sesión. En comparación, los ataques contra los sensores MSSQL Honeypot registraron picos de más de 3 millones de intentos de inicio de sesión.
Otro resultado interesante es que los atacantes mostraron claras preferencias regionales en sus ataques, a pesar de que Trustwave había desplegado sensores MSSQL en diferentes países. Por ejemplo, los sensores ubicados en el Reino Unido fueron los más atacados, y la cantidad de ataques registrados fue ligeramente superior a la de China, a pesar de que China tiene una cantidad mucho mayor de servidores MSSQL disponibles en Internet. Estados Unidos fue sexto detrás de países como Ucrania, Rusia y Polonia.
Según Shodan, hay más de 450 000 instancias de MSSQL disponibles en Internet, con más de 133 000 de ellas ubicadas en China. Uno esperaría que China encabezara la lista por el número de ataques.
¿Por qué los atacantes apuntan a MSSQL?
Si bien MSSQL es sin duda uno de los servidores de bases de datos más utilizados, nunca ha sido el más popular ni el más utilizado, ya que solo se utiliza en servidores Windows. MySQL, Oracle y PostgreSQL siempre están en la parte superior de la lista de popularidad. ¿Por qué los servidores MSSQL son un objetivo más interesante para los atacantes?
Se podría argumentar que esto se debe a que Windows es un objetivo más popular que Linux y es más probable que los atacantes tengan herramientas de malware desarrolladas para Windows. Entonces, si el servidor de la base de datos es el punto de entrada para comprometer el servidor subyacente, tiene sentido que más atacantes elijan MSSQL. Si bien eso puede ser parte de ello, MSSQL también tiene integraciones profundas y poderosas con los servidores de Windows en los que se ejecuta, como lo muestra el análisis de Trustwave de los ataques observados.
Cómo explotan los atacantes el acceso a MSSQL
En un nuevo informe, los investigadores analizan algunas de las acciones y técnicas posteriores a la intrusión que observaron que utilizan los atacantes después de obtener acceso a servidores MSSQL utilizando credenciales débiles. En primer lugar, el nombre de cuenta atacado con mayor frecuencia en los intentos de fuerza bruta fue «sa». Esta es una cuenta de superusuario especial que significa «autenticación de servidor» y generalmente está deshabilitada en la mayoría de los casos.
«La cuenta sa es una cuenta de SQL Server muy conocida y suele ser el objetivo de usuarios malintencionados». dice en la documentación de Microsoft. “Solo habilite la cuenta SA si su aplicación lo requiere. Es importante que utilice una contraseña segura para iniciar sesión en SA”.
Una vez que los atacantes obtuvieron acceso a una cuenta de MSSQL, los investigadores observaron dos métodos de entrega de carga útil, los cuales revelan un conocimiento profundo de la plataforma y aprovechan características interesantes que permiten que el servidor integre otras tecnologías. Uno de ellos es la integración de .NET Framework Common Language Runtime (CLR), que permite a los usuarios de MSSQL ejecutar código .NET directamente dentro del motor de la base de datos para ampliar la funcionalidad de SQL Server.
«Una vez que el bot se autentica, ejecuta un script SQL para cambiar la configuración de MSSQL para poder instalar un ensamblaje CLR de puerta trasera», dijeron los investigadores de Trustwave.
Los atacantes primero establecen la propiedad TRUSTWORTHY en la base de datos que aloja su código ensamblador y luego habilitan la función CLR para permitir que se ejecute su código malicioso. Luego, los atacantes usan el código CLR malicioso para descargar y ejecutar cuatro archivos ejecutables maliciosos en el servidor de Windows subyacente a través de la línea de comandos (cmd.exe).
Otra técnica de entrega de carga observada implicó el abuso del mecanismo de automatización OLE (Object Linking and Embedding) presente en MSSQL Server, que permite a los usuarios crear objetos de automatización.
«Los usuarios pueden crear y editar objetos de automatización en código T-SQL, lo que permite la integración de SQL Server con otros componentes del sistema de Windows, llamado Modelo de objetos componentes (COM), un estándar de interfaz binaria para componentes de software», dijeron los investigadores.
Se descubrió que los atacantes habilitaban los mecanismos de automatización OLE y otras opciones de configuración del servidor, y luego aprovechaban las capacidades existentes para eliminar, agregar y modificar varias claves de registro en preparación para un ataque de escalada de privilegios. Luego comienzan a crear objetos OLE.
“Los exploits usan IDataInitialize, al que se hace referencia por su identificador de clase (CLSID 00000566-0000-0010-8000-00AA006D2EA4) proporcionado por el componente de servicios OLE DB de Microsoft, para crear y administrar conexiones”, dijo el investigador. “Luego, el bot crea el archivo F**kGothin.inf y escribe contenido binario hexadecimal. F**kGothin.inf es un archivo de texto. Estos tipos de archivos se utilizan para proporcionar al sistema información sobre cómo instalar, configurar y administrar software, controladores o componentes de hardware.
Después de cambiar los descriptores de varios archivos y completar el proceso de escalada de privilegios, el proceso malicioso comienza a crear objetos usando ADODB.Stream, se proporciona un objeto COM proporcionado por la biblioteca ActiveX Data Objects (ADO) de Microsoft y permite que se escriban datos binarios o textuales en memoria. Esto se usa para escribir varios ejecutables en el disco, incluidas herramientas de escalamiento como Potato (BadPotato, JuicyPotato, SweetPotato, EFSPotato) y PoC (CVE-2018-8639, CVE-2019-1458). El objetivo final es entregar varios programas de caballos de Troya en el sistema junto con una herramienta de minería de criptomonedas.
«La automatización OLE y el ensamblaje CLR son características extremadamente poderosas que las hacen extremadamente peligrosas», dijeron los investigadores. «Si no está utilizando la automatización OLE y el ensamblado CLR, estos deben estar deshabilitados. Deshabilitar la funcionalidad innecesaria en la base de datos reduce la superficie de ataque, pero como hemos demostrado, no la elimina».
Incluso si están deshabilitadas, los atacantes pueden volver a habilitar estas funciones si tienen privilegios administrativos en el servidor de la base de datos. Por lo tanto, es muy importante cambiar las cuentas de administrador predeterminadas como «sa» y establecer políticas de contraseña seguras para ellas.
Derechos de autor © 2023 IDG Communications, Inc.
Hemos recibido este contenido de ciberseguridad de: CSO Online
Llegarás a la noticia original en el siguiente enlace: https://www.csoonline.com/article/3700568/why-you-should-review-the-security-of-your-mssql-servers.html#tk.rss_news
