Maggie è la nuova backdoor che prende di mira server Microsoft SQL

I ricercatori di sicurezza di DCSO CyTec hanno individuato una nuova backdoor, battezzata Maggie, che prende di mira i server Microsoft SQL e ha già compromesso centinaia di macchine in tutto il mondo, in particolare in Corea del Sud, India, Vietnam, Cina, Russia, Thailandia, Germania e USA.

L'analisi della backdoor ha dato modo di sapere che si maschera da DLL Extended Stored Procedure, firmata digitalmente da DEEPSoft Co. Ltd, società che pare essere registrata in Corea del Sud. Maggie è controllata sfruttando query SQL che la istruiscono per eseguire comandi e interagire con i file e le sue capacità consentono di effettuare tentativi brute-force per l'accesso a profili di amministrazione ad altri server Microsoft SQL e il raddoppio come testa di ponte nella rete in cui si trova il server.

La possibilità di mascherarsi da DLL ESP estende la funzionalità della query SQL utilizzando un'API che può accettare argomenti da utenti remoti e risponde con dati non strutturati. Maggie fa uso in particolare di questo meccanismo per consentire l'accesso remoto con un set di ben 51 comandi, che permettono tra le altre cose di eseguire query per recuperare informazioni di sistema, avviare programmi, interagire con file e cartelle, abilitare servizi di desktop remoto, eseguire proxy SOCKS5 e impostare il port forwarding.

Tra i comandi ve ne sono anche quattro di "Exploit" che l'aggressore potrebbe utilizzare per sfruttare vulnerabilità note per compiere determinate azioni. I ricercatori però non hanno potuto testare questi quattro comandi poiché essi sembrano dipendere da una DLL che non viene fornita con Maggie.

Al di là dei dettagli tecnici che i ricercatori sono riusciti a scoprire, mancano ancora alcune informazioni chiave. Ad esempio è ancora sconosciuto l'uso effettivo post-infezione di Maggie, così come non è noto in che modo la backdoor venga installata nei server. E, da ultimo ma non per importanza, non è ancora possibile sapere chi sia la mano dietro a questi attacchi.