Cibercriminosos extraem credenciais por meio de consultas ao SQL Server
Uma investigação da ThreatMon identificou uma infraestrutura de ataque exposta na internet durante uma varredura de rotina. Entre os arquivos encontrados havia 17 ferramentas usadas em atividades maliciosas e dados subtraídos de um ambiente ligado à companhia aérea Viva Aerobus.
Os pesquisadores observaram movimentação entre 25 e 29 de setembro. A análise, porém, não esclareceu como os invasores obtiveram o acesso inicial. Também não foi possível relacionar as ferramentas a uma família de malware conhecida. Até o momento, não há evidências de que o grupo tenha alcançado outros sistemas ou roubado informações de passageiros e dados de pagamento.
Comandos do sistema executados pelo banco de dados
A operação explorou o `xp_cmdshell`, recurso do Microsoft SQL Server capaz de executar comandos no sistema operacional. Quando essa funcionalidade está habilitada, uma sessão do banco pode servir de caminho para que um invasor acione comandos do Windows e scripts do PowerShell – inclusive em formato codificado.
Esse tipo de abuso é preocupante porque transforma um serviço legítimo, usado para administrar e consultar dados, em uma ponte para ações no servidor. Se a conta do SQL Server tiver permissões excessivas, o impacto pode ir além do banco de dados e atingir arquivos e outros componentes do ambiente.
Dados enviados como resultado de consultas
Um dos aspectos mais discretos do método foi a forma de retirar informações da rede. Em vez de estabelecer uma conexão externa própria para transmitir os arquivos, as ferramentas identificadas liam o conteúdo, separavam os dados em blocos menores, convertiam cada parte para Base64 e devolviam o material na resposta de uma consulta SQL.
Assim, o tráfego podia se parecer com uma comunicação comum entre um cliente e um servidor de banco de dados. Isso não torna a atividade invisível, mas pode dificultar sua identificação por mecanismos que se concentram apenas em conexões de rede incomuns.
O conjunto recuperado continha credenciais armazenadas em navegadores, no Windows e no próprio SQL Server. Também incluía código-fonte, arquivos de configuração, parâmetros de conexão com bancos de dados e referências a integrações de OAuth, e-mail, SFTP e sistemas de pagamento. O histórico de conexões salvo no SQL Server Management Studio também estava entre os dados encontrados.
A presença dessas informações amplia o risco potencial. Senhas e parâmetros de conexão podem facilitar novos acessos; já tokens e dados de integração podem permitir que um invasor tente alcançar serviços conectados. Isso não significa que todas essas contas ou plataformas tenham sido efetivamente comprometidas, mas os itens expostos devem ser tratados como sensíveis.
Como reduzir o risco
Organizações devem verificar se o `xp_cmdshell` está habilitado e desativá-lo quando não houver uma necessidade operacional justificada. Caso seja indispensável, seu uso precisa ser restrito, documentado e acompanhado por monitoramento. Contas de serviço do SQL Server devem operar com o mínimo de privilégios necessário, sem permissões administrativas genéricas no sistema operacional.
Também é importante investigar execuções inesperadas de comandos do Windows, uso de PowerShell codificado e atividades incomuns de leitura ou manipulação de arquivos realizadas por contas associadas ao banco. Alertas baseados apenas em conexões de rede podem não ser suficientes: registros do SQL Server, eventos do Windows e telemetria de processos precisam ser analisados em conjunto.
Senhas, conexões e tokens salvos em ferramentas de administração devem ser tratados como segredos, e não como simples conveniências. Sempre que possível, credenciais devem ser armazenadas em um cofre apropriado, protegidas por controle de acesso e substituídas periodicamente. O acesso ao SQL Server Management Studio também deve ser limitado a usuários autorizados, com autenticação forte e revisão regular dos registros de conexão.
Se houver suspeita de exposição, a resposta deve incluir a preservação de evidências, a análise dos logs e a troca das credenciais potencialmente afetadas. Tokens de OAuth e senhas de serviços integrados podem exigir revogação e emissão de novos valores. Antes de encerrar a investigação, é necessário verificar se comandos ou contas criadas durante a atividade continuam presentes no servidor.
O caso demonstra que consultas a um banco de dados podem ser usadas não só para acessar informações, mas também para executar comandos e transportar arquivos para fora do ambiente. A combinação de permissões excessivas, recursos administrativos habilitados sem necessidade e credenciais armazenadas em locais acessíveis pode transformar uma falha de controle em um incidente mais amplo.