Mineurs Monero Et Gh0st Rat Frappent Les Serveurs Sql

Imaginez un serveur d’entreprise tournant tranquillement dans un data center, chargé de gérer des bases de données critiques. Soudain, sans aucun bruit d’alarme, sa puissance de calcul se met à travailler pour un inconnu. Des milliers d’euros d’électricité partent en fumée pendant que des pièces de Monero s’accumulent dans un portefeuille anonyme. C’est exactement ce que FortiGuard Labs a observé début octobre 2026 : une campagne discrète mais redoutablement efficace qui transforme des Microsoft SQL Server exposés sur Internet en fermes de minage clandestines, tout en y installant un outil de contrôle à distance particulièrement dangereux.

Une campagne silencieuse qui cible les bases de données oubliées

Le rapport publié le 12 novembre 2026 par le chercheur Xiaopeng Zhang de FortiGuard Labs décrit une opération qui ne cherche ni les projecteurs ni les rançongiciels spectaculaires. Les pirates préfèrent l’ombre et le profit discret. Ils scannent le net à la recherche de serveurs SQL accessibles depuis l’extérieur, puis tentent de s’y connecter avec une liste de plus de 2 700 mots de passe prédéfinis. Les identifiants classiques comme « sa » ou « admin » reviennent sans cesse. Dès qu’une porte s’entrouvre, la machine bascule en mode extraction.

Une fois à l’intérieur, les attaquants activent la fonction xp_cmdshell, un outil légitime de Microsoft SQL Server qui permet d’exécuter des commandes Windows directement depuis la base de données. Cette fonctionnalité, désactivée par défaut sur les installations récentes, devient alors le sésame pour télécharger et installer deux charges distinctes : un mineur Monero déguisé et une variante du célèbre Gh0st RAT.

Le mineur qui se fait passer pour une mise à jour Edge

Le premier payload s’appelle MicrosoftEdgeUpdate.exe. Le nom est volontairement rassurant. Il évoque une banalité de Windows, un composant que personne ne regarde deux fois dans le gestionnaire de tâches. En réalité, il s’agit d’une version d’XMRig configurée pour miner du Monero. Le fichier contient une adresse de portefeuille et trois adresses de pools de minage. Toute la puissance CPU du serveur détourné est alors mise au service de cette extraction clandestine.

Le choix du Monero n’est pas anodin. Cette cryptomonnaie privilégie l’anonymat et résiste mieux au traçage que le Bitcoin. Pour des acteurs malveillants qui cherchent à monétiser discrètement des ressources volées, c’est l’option idéale. Le serveur continue de répondre aux requêtes légitimes pendant que ses processeurs chauffent et que la facture d’électricité grimpe. Dans de nombreux cas, les administrateurs ne remarquent le problème que lorsque les performances chutent ou que les coûts énergétiques deviennent inexplicables.

Gh0st RAT : bien plus qu’un simple mineur

Le second fichier, winlogon.exe, est une variante de Gh0st RAT. Ce type de malware n’est pas nouveau, mais il reste redoutable. Il offre des capacités de keylogging, de gestion de fichiers et d’exécution de commandes à distance. Des plugins supplémentaires permettent d’ajouter la capture d’écran et le contrôle du bureau distant, même si ces modules n’étaient pas présents dans l’échantillon analysé par les chercheurs.

Contrairement au mineur, le RAT ouvre la porte à un contrôle total de la machine. Les pirates peuvent exfiltrer des données sensibles, installer d’autres outils ou utiliser le serveur compromis comme point de relais pour d’autres attaques. La combinaison des deux charges est particulièrement pernicieuse : pendant que le mineur génère des revenus, le RAT maintient un accès permanent et discret.

Les chercheurs ont étudié le RAT sans jamais le connecter à un serveur de commande actif, car l’infrastructure avait déjà été démantelée au moment de l’analyse.

Rapport FortiGuard Labs, novembre 2026

Comment le malware s’accroche durablement au système

Les attaquants ne se contentent pas d’installer leurs outils. Ils mettent en place plusieurs mécanismes de persistance. Des clés de registre sont modifiées, un service Windows est créé, et des tâches planifiées sont ajoutées. L’une d’elles relance le RAT toutes les trente minutes. Même si un administrateur tue le processus, le malware revient rapidement.

Cette approche multi-couches rend le nettoyage délicat. Il ne suffit pas de supprimer un exécutable. Il faut inspecter les services, les tâches planifiées, les entrées de registre et parfois même les scripts SQL restants. Dans un environnement de production, cette opération peut prendre des heures et nécessiter une interruption de service.

Pourquoi les serveurs SQL restent des cibles privilégiées

Microsoft SQL Server est largement déployé dans les entreprises de toutes tailles. Beaucoup d’instances anciennes ou mal configurées se retrouvent exposées sur Internet, parfois sans que les équipes IT en aient conscience. Les mots de passe faibles ou par défaut restent un problème chronique. Ajoutez à cela la fonction xp_cmdshell, qui, lorsqu’elle est activée, donne un accès quasi direct au système d’exploitation sous-jacent.

Microsoft elle-même recommande de laisser xp_cmdshell désactivé sauf nécessité absolue, et de le restreindre aux comptes les plus privilégiés. Pourtant, certaines applications héritées en dépendent encore. Les pirates le savent et exploitent systématiquement cette faille humaine et technique.

Un schéma qui n’est pas nouveau

Cette campagne s’inscrit dans une longue série d’attaques qui mêlent cryptojacking et outils de contrôle à distance. En juillet 2024, des chercheurs d’AhnLab avaient déjà documenté des intrusions sur des serveurs de partage de fichiers vulnérables. Les pirates y installaient également XMRig ainsi que des variantes de XenoRAT et de Gh0st RAT. Certains groupes, comme LemonDuck, étaient identifiés parmi les acteurs.

Plus récemment, Apple a dû corriger une faille de macOS après que des attaquants aient exploité le partage d’écran pour installer des mineurs Monero. Les autorités néerlandaises avaient confirmé que plusieurs systèmes dont le port de partage d’écran était accessible depuis Internet avaient été compromis. Dans chaque cas signalé, les pirates obtenaient un accès root et déployaient un mineur.

Même CrowdStrike a été victime d’une campagne d’usurpation d’identité en janvier 2025. De faux e-mails de recrutement poussaient les candidats à télécharger un prétendu outil de gestion des employés. Le fichier livrait en réalité un exécutable qui téléchargeait XMRig après avoir vérifié que la machine n’était pas en mode débogage et qu’elle disposait d’au moins deux cœurs.

Les conséquences concrètes pour les entreprises

Le premier impact est économique. Un serveur SQL haute performance consomme beaucoup d’électricité lorsqu’il mine à plein régime. La facture peut grimper de façon spectaculaire sans que la direction comprenne pourquoi. Les performances de la base de données se dégradent, les applications ralentissent, et les utilisateurs se plaignent. Dans les cas les plus graves, le serveur devient instable et provoque des interruptions de service.

Le second impact est sécuritaire. La présence d’un RAT signifie que des données sensibles peuvent être exfiltrées. Des bases clients, des informations financières ou des secrets industriels peuvent quitter le réseau sans que personne s’en aperçoive immédiatement. Le serveur compromis peut aussi servir de tête de pont pour attaquer d’autres machines du réseau interne.

Enfin, il y a le coût de la remédiation. Identifier, isoler et nettoyer un serveur infecté demande du temps et des compétences. Dans certains secteurs réglementés, une telle intrusion doit être déclarée aux autorités, ce qui ajoute une couche de complexité administrative et potentiellement des sanctions.

Comment se protéger concrètement

La première ligne de défense reste basique mais souvent négligée : ne jamais exposer un serveur SQL directement sur Internet. Si un accès distant est indispensable, il doit passer par un VPN, un bastion ou un pare-feu applicatif strictement configuré. Les ports SQL ne doivent jamais être ouverts au grand public.

Les mots de passe doivent être longs, complexes et uniques. Les comptes par défaut comme « sa » doivent être désactivés ou renommés. L’authentification Windows intégrée est préférable à l’authentification SQL lorsque c’est possible. Les politiques de verrouillage de compte après plusieurs tentatives infructueuses limitent l’efficacité des attaques par force brute.

La fonction xp_cmdshell doit rester désactivée sauf besoin temporaire et justifié. Lorsqu’elle est nécessaire, elle doit être activée uniquement le temps de l’opération puis immédiatement désactivée. L’accès doit être restreint aux comptes les plus privilégiés, et idéalement via un compte proxy à privilèges réduits.

La surveillance est essentielle. Des alertes sur l’utilisation anormale du processeur, sur la création de nouveaux services ou de tâches planifiées, et sur les connexions SQL provenant d’adresses inhabituelles permettent de détecter une intrusion plus rapidement. Les journaux d’authentification SQL doivent être conservés et analysés régulièrement.

Le rôle du cryptojacking dans l’économie souterraine

Le cryptojacking reste attractif pour les cybercriminels parce qu’il est relativement discret et génère un revenu continu. Contrairement au ransomware, qui nécessite une interaction avec la victime et attire immédiatement l’attention, le minage clandestin peut durer des mois sans être découvert. Le Monero, grâce à son protocole de confidentialité, complique encore le suivi des flux financiers.

Les pools de minage utilisés dans ces campagnes sont souvent légitimes. Les pirates y connectent simplement des machines volées. Pour les opérateurs de pools, il est difficile de distinguer un serveur légitime d’une machine compromise, surtout lorsque les volumes individuels restent modestes.

Cette économie parasite profite de la sous-estimation du risque par de nombreuses organisations. Un serveur SQL mal configuré n’est pas perçu comme une cible prioritaire, alors qu’il peut générer des centaines d’euros de Monero par mois pour un attaquant tout en coûtant bien plus cher à l’entreprise en électricité et en performances perdues.

Ce que révèle cette campagne sur l’état de la sécurité des bases de données

Le rapport de FortiGuard Labs ne donne ni le nombre exact de victimes ni l’identité des attaquants. Cette absence d’information est en soi révélatrice. Les campagnes de cryptojacking de ce type sont souvent menées par des groupes opportunistes qui ne cherchent pas la notoriété. Ils scrapent Internet, trouvent des cibles faciles, installent leurs outils et passent à la suivante.

La persistance des mêmes techniques d’année en année montre que les bonnes pratiques de base ne sont toujours pas appliquées partout. Des mots de passe faibles, des services exposés et des fonctionnalités dangereuses activées continuent d’offrir des points d’entrée faciles. Tant que ces conditions existent, les campagnes de ce type continueront.

Les entreprises qui hébergent encore des instances SQL anciennes ou peu maintenues sont particulièrement vulnérables. Les migrations vers le cloud n’éliminent pas automatiquement le risque : une base de données cloud mal sécurisée peut être tout aussi exposée qu’un serveur on-premise oublié.

Vers une prise de conscience plus large

Les équipes de sécurité doivent désormais intégrer le cryptojacking dans leurs scénarios de menace au même titre que les rançongiciels. La détection ne peut plus se limiter aux signatures de malware connus. Il faut surveiller les comportements anormaux : consommation CPU inhabituelle, connexions sortantes vers des pools de minage, création de processus aux noms légitimes mais aux chemins suspects.

La formation des administrateurs de bases de données est également cruciale. Beaucoup d’entre eux excellent dans l’optimisation des requêtes ou la gestion des sauvegardes, mais connaissent moins les aspects de sécurité système. Comprendre que xp_cmdshell peut servir de passerelle vers le système d’exploitation change la façon dont on gère cette fonctionnalité.

Enfin, la collaboration entre équipes infrastructure, bases de données et cybersécurité doit s’améliorer. Un serveur SQL n’est pas seulement une base de données : c’est un point d’entrée potentiel dans le système d’information. Sa configuration doit être revue avec le même niveau d’exigence que celle d’un contrôleur de domaine ou d’un serveur web exposé.

Les leçons à retenir pour les mois à venir

Cette campagne de 2026 rappelle que les attaques les plus rentables ne sont pas toujours les plus visibles. Pendant que l’attention se porte sur les grands ransomware et les attaques par déni de service, des acteurs plus discrets continuent d’exploiter des faiblesses basiques pour générer des revenus réguliers.

La combinaison d’un mineur Monero et d’un RAT comme Gh0st n’est pas nouvelle, mais elle reste efficace. Elle transforme un serveur de production en double source de profit : extraction de cryptomonnaie d’un côté, potentiel d’exfiltration de données et de mouvement latéral de l’autre.

Pour les responsables de la sécurité, le message est clair. Il faut inventaire complet des instances SQL, suppression de toute exposition Internet non justifiée, durcissement systématique des configurations, et surveillance comportementale adaptée. Les mots de passe faibles et les fonctionnalités dangereuses activées par défaut ou par facilité restent les alliés les plus précieux des attaquants.

Le Monero continuera d’attirer les cryptojackers tant qu’il offrira un niveau d’anonymat supérieur. Les pools de minage resteront des destinations attrayantes pour les machines compromises. Et tant que des serveurs SQL resteront accessibles avec des identifiants faibles, les campagnes de ce type continueront de prospérer dans l’ombre.

La bonne nouvelle est que la plupart des mesures de protection sont à la portée de n’importe quelle organisation. Elles ne nécessitent ni technologies exotiques ni budgets pharaoniques. Elles demandent surtout de la rigueur, de la régularité et une prise de conscience que les bases de données ne sont pas à l’abri des appétits des cybercriminels. Dans un monde où la puissance de calcul a une valeur monétaire directe, chaque serveur mal protégé devient une ressource à conquérir.

Les équipes qui prendront le temps de vérifier leurs instances SQL, de désactiver ce qui n’est pas indispensable et de surveiller les comportements anormaux réduiront considérablement leur surface d’attaque. Celles qui négligeront ces points de base risquent de découvrir un jour que leur infrastructure travaille discrètement pour quelqu’un d’autre, pendant que leurs factures d’électricité et leurs performances en pâtissent.

Cette campagne de FortiGuard Labs n’est probablement qu’un exemple parmi d’autres. D’autres groupes utilisent sans doute des techniques similaires sur d’autres types de serveurs. La vigilance doit rester permanente, et la configuration sécurisée des bases de données doit devenir un réflexe aussi naturel que la sauvegarde régulière des données critiques.

En définitive, le minage clandestin de Monero via des serveurs SQL compromis illustre parfaitement la façon dont l’économie des cryptomonnaies peut être détournée. Ce qui a été conçu comme un système monétaire alternatif devient, entre de mauvaises mains, un moyen de monétiser le vol de ressources informatiques. La frontière entre innovation et exploitation n’a jamais été aussi fine, et la responsabilité de la sécurisation repose en grande partie sur ceux qui déploient et administrent ces systèmes au quotidien.