中国骇客以后门程式入侵MS SQL Server

ESET安全研究人员发现一只疑似自中国骇客组织的后门程式，入侵微软SQL Server数据库软件，特别是SQL Server 11及12，使骇客能任意存取、删除或修改资料。

今年稍早，ESET研究人员发现一只新的后门程式样本，称为Skip-2.0。分析Skip-2.0的程式码，和该公司一直追踪的中国骇客组织Winnti Group已知攻击程式如PortReuse及Shadow Pad后门，使用同样的模组，包括VMProtected launcher及Inner-Loader injector，因此研究人员相信Skip-2.0也是这个中国骇客组织的攻击武器。

之前也有别的安全研究显示Winnti Group可能受雇于中国-，曾经长期骇入德国企业及远端桌面软件业者Teamviewer。

最新发现的Skip-2.0让攻击者获得一组万能密码，让他们可以暗中连上任何SQL Server账号，借此拷贝、变更、删除资料。当它进入系统后，会注入恶意程式码来钩取（hook）并修改多个与登入、验证有关的功能，借此绕过SQL Server内建的验证机制，使攻击者不论输入的密码和合法用户密码是否相符，都能成功连线。

之后攻击者可以做任何事，可能的攻击情境包括窜改游戏币获利。Winnti Group过去经常被发现攻击线上游戏开发商及其用户。另一方面，它还可以关闭受骇机器的纪录、事件发布（event publishing）和稽核功能，达到隐藏自身踪迹、长期潜伏的目的。

ESET指出，这是有纪录以来，第一只针对SQL Server系统的后门程式。经过测试，研究人员发现SQL Server 11和12可以被这只程式以万能密码登入。这二个版本分别于2012和2014年推出，据市调公司Censys报告，是目前最多人用的版本。

所幸由于安装hook需要管理权限，研究人员判断，MS SQL Server必须要先被骇入才能执行Skip-2.0。