币界网消息，FortiGuard Labs报告称，Monero矿工和Gh0st RAT劫持了面向互联网的微软SQL服务器，安装了挖矿软件和远程访问恶意软件，能够窃取数据并控制受感染的机器。该活动于2026年10月首次被发现，FortiGuard Labs在11月12日的报告中详细描述了攻击过程。攻击者使用预定义的凭据登录暴露的数据库，密码列表包含超过2700个条目，用户名包括“sa”和“admin”。获得访问权限后，攻击者运行数据库命令启用xp_cmdshell并安装下载器，从攻击者控制的服务器检索Monero矿工和Gh0st RAT。微软指出，xp_cmdshell在新SQL服务器安装中默认禁用，且应保持关闭状态。恶意软件利用受感染机器的CPU通过xmrig挖掘Monero，配置中包含钱包地址和矿池地址。