Microsoft heeft via Twitter gewaarschuwd voor een nieuwe campagne waarbij criminelen door middel van bruteforce-aanvallen proberen om volledige controle te krijgen over servers die Microsoft SQL Server draaien. Wat de campagne doet opvallen is het gebruik van de sqlps-tool. Dit is een tool voor het starten van Windows PowerShell-sessies en uitvoeren van cmdlets. Een cmdlet is een "lichtgewicht commando" dat vaak in de PowerShell-omgeving wordt gebruikt.

Aanvallers gebruiken de sqlps-tool voor het uitvoeren van commando's waarmee ze de gecompromitteerde omgeving verder verkennen. Ook wordt sqlps gebruikt voor het aanmaken van een nieuw systeembeheerderaccount, waarmee de aanvallers volledige controle over de SQL-server krijgen. Met het beheerdersaccount voeren de aanvallers verdere acties uit, zoals het installeren van coinminers die de rekenkracht van het systeem gebruiken voor het delven van cryptovaluta.

Volgens Microsoft richten verdedigers zich bij het beschermen van systemen vaak op het monitoren van PowerShell. Sqlps, dat standaard met alle versies van SQL Server wordt geleverd, biedt een soortgelijke functionaliteit en moet daarom net zo nauwlettend in de gaten worden gehouden, aldus Microsoft. Volgens het techbedrijf laat het gebruik van sqlps zien dat organisaties volledige zichtbaarheid in uitgevoerde scripts moeten hebben om eventuele malware te detecteren.