La investigación de Huntress detalla el comportamiento de los atacantes después de obtener el primer acceso. En lugar de robar datos o dejar ransomware, los atacantes desarrollan estrategias para mantenerse en el sistema. Esto incluye la creación de puertas traseras, el borrado de rastros y la desactivación de herramientas de seguridad.
Los atacantes, tras detectar actividad sospechosa en el proceso de Microsoft SQL Server, obtuvieron acceso a una máquina Windows a través de una vulnerabilidad de inyección SQL. Esta es una de las vulnerabilidades más comunes y prevenibles en las aplicaciones web. Mientras desarrollaban estrategias para mantenerse en el sistema, los atacantes activaron el acceso remoto al escritorio, crearon una nueva cuenta de usuario y desactivaron Windows Defender.
Este ataque muestra cuántos cambios diferentes pueden hacer los atacantes en una sola máquina. Los atacantes convierten el servidor web en un arma, cargando complementos maliciosos y colocando programas de minería de criptomonedas para obtener valor adicional del sistema. Esto hace que, para los defensores, el proceso de limpieza después del ataque sea tan importante como encontrar y corregir el punto de entrada.