Utrecht, 3 november 2022 – Aanvallen met Microsoft SQL Server zijn in september 2022 wereldwijd met 56% gestegen ten opzichte van dezelfde periode vorig jaar. Daders maken nog steeds gebruik van een veel voorkomende aanval waarbij SQL Server wordt ingezet om te proberen toegang te krijgen tot bedrijfsinfrastructuren. De technische details van een van deze incidenten zijn geanalyseerd in het nieuwe
Managed Detection and Response-rapport van Kaspersky.
Microsoft SQL Server wordt wereldwijd gebruikt door zowel grote bedrijven als middelgrote en kleine ondernemingen voor databasebeheer. Onderzoekers van Kaspersky ontdekten een toename van aanvallen die gebruikmaken van de processen van Microsoft SQL Server. In september 2022 ging het om meer dan 3.000 getroffen SQL-servers, een groei van 56% ten opzichte van dezelfde periode vorig jaar. Deze aanvallen werden met succes gedetecteerd door Kaspersky Endpoint Security for Business en Managed Detection and Response.
Het aantal van deze aanvallen is het afgelopen jaar geleidelijk toegenomen en is sinds april 2022 boven de 3.000 gebleven, met uitzondering van een lichte daling in juli en augustus.
"Ondanks de populariteit van Microsoft SQL Server geven bedrijven mogelijk onvoldoende prioriteit aan de bescherming tegen bedreigingen die met de software samenhangen. Aanvallen met kwaadaardige SQL Server-taken zijn al lang bekend, maar het wordt nog steeds door daders gebruikt om toegang te krijgen tot de infrastructuur van een bedrijf", aldus Sergey Soldatov, hoofd van het Security Operations Center bij Kaspersky.
Een merkwaardig incident: PowerShell-scripts en .PNG-bestanden
In het nieuwe rapport, gewijd aan de meest interessante Managed Detection and Response-incidenten, beschrijven Kaspersky-experts een aanval waarbij Microsoft SQL Server-taken worden gebruikt - een reeks commando's die door de serveragent worden uitgevoerd.
"Aanvallers probeerden de serverconfiguratie te wijzigen om toegang te krijgen tot de shell om malware uit te voeren via PowerShell. De gecompromitteerde SQL Server probeerde kwaadaardige PowerShell-scripts uit te voeren die een verbinding met externe IP-adressen genereerden. Dit PowerShell-script voert de malware vermomd als .png-bestanden uit vanaf dat externe IP-adres met behulp van het "MsiMake"-attribuut, wat erg lijkt op het gedrag van PurpleFox-malware", legde de heer Soldatov uit.
Een voorbeeld van SQL-taken met gecodeerde PowerShell-commando's
Bedrijven kunnen zich beschermen tegen dergelijke bedreigingen door onder andere software altijd bij te werken op alle apparaten die worden gebruikt. Zo kan voorkomen worden dat aanvallers het netwerk infiltreren door gebruik te maken van kwetsbaarheden. Installeer patches voor nieuwe kwetsbaarheden daarom zo snel mogelijk. Wanneer deze zijn gedownload, kunnen bedreigingen geen misbruik meer maken van de kwetsbaarheid. Daarnaast loont het ook om de laatste Threat Intelligence-informatie te gebruiken om op de hoogte te zijn van de tactieken, technieken en procedures die door bedreigingsactoren worden gebruikt.
Meer informatie
Het volledige Managed Detection and Response rapport kan je vinden op
Securelist.com.
###
Over Kaspersky
Kaspersky, opgericht in 1997, is wereldwijd actief op het gebied van cybersecurity en digital privacy. Kaspersky’s threat intelligence en security-expertise worden voortdurend omgezet in innovatieve security-oplossingen en -diensten om bedrijven, kritieke infrastructuren, overheden en consumenten van over de hele wereld te beschermen. Het uitgebreide securityportfolio van het bedrijf omvat toonaangevende endpoint security en een aantal gespecialiseerde security-oplossingen en -diensten om geavanceerde digitale bedreigingen te bestrijden. Meer dan 400 miljoen gebruikers en 240.000 zakelijke gebruikers worden beschermd door technologieën van Kaspersky. Kijk voor meer informatie op
www.kaspersky.nl.