Pesquisadores da ThreatMon encontraram a infraestrutura de um grupo exposta na internet durante uma varredura de rotina. Nela estavam 17 ferramentas de ataque e o material roubado de um ambiente da companhia aérea Viva Aerobus.
O acesso ao sistema operacional veio do xp_cmdshell, recurso do SQL Server que executa comandos do sistema quando está habilitado. Por ele os invasores enviaram comandos do Windows e PowerShell codificado através das sessões do banco.
O ponto mais discreto da operação é a saída dos dados. Em vez de abrir um canal próprio de comunicação, as ferramentas liam o conteúdo dos arquivos, dividiam em pedaços menores, convertiam para Base64 e devolviam tudo pelo resultado da própria consulta SQL.
Do ponto de vista da rede, o tráfego é o de um banco de dados respondendo a consultas, o que reduz as chances de um alerta por conexão incomum.
O material recuperado inclui credenciais de navegador, do Windows e do próprio SQL, código-fonte, arquivos de configuração, dados de conexão de bancos e referências a integrações de OAuth, e-mail, SFTP e sistemas de pagamento, além do histórico de conexões salvo no SQL Server Management Studio.
A atividade foi observada entre 25 e 29 de setembro. Os pesquisadores não estabeleceram como os invasores entraram no ambiente nem associaram o conjunto a uma família de malware conhecida, e não encontraram prova de acesso a outros sistemas ou de roubo de dados de passageiros e de pagamento.
Entre as recomendações estão investigar usos inesperados do xp_cmdshell, PowerShell codificado e operações de arquivo feitas por contas de serviço do SQL Server, além de tratar conexões e senhas salvas em ferramentas de administração como informação sensível.
