melee: Detect Infections in MySQL Instances

by ddos · January 30, 2025

MELEE: A Tool to Detect Ransomware Infections in MySQL Instances

Attackers are abusing MySQL instances for conducting nefarious operations on the Internet. The cybercriminals are targeting exposed MySQL instances and triggering infections at scale to exfiltrate data, destruct data, and extort money via ransom. For example one of the significant threats MySQL deployments face is ransomware. We have authored a tool named “MELEE” to detect potential infections in MySQL instances. The tool allows security researchers, penetration testers, and threat intelligence experts to detect compromised and infected MySQL instances running malicious code. The tool also enables you to conduct efficient research in the field of malware targeting cloud databases. In this release of the tool, the following modules are supported:

MySQL instance information gathering and reconnaissance
MySQL instance exposure to the Internet
MySQL access permissions for assessing remote command execution
MySQL user enumeration
MySQL ransomware infections
Basic assessment checks for detecting ransomware infections
Extensive assessment checks for extracting insidious details about potential ransomware infections
MySQL ransomware detection and scanning for both unauthenticated and authenticated deployments

Download

git clone https://github.com/adityaks/melee.git

Use

[pastacode lang=”markup” message=”” highlight=”” provider=”manual” manual=”%24%20python3%20melee.py%20%0A%09——————————————————————–%0A%0A%0A%20%20%20%20%20%20%20%20%20%20%20%20__%20%20___________%20%20%20%20____________%0A%20%20%20%20%20%20%20%20%20%20%20%2F%20%20%7C%2F%20%20%2F%20____%2F%20%2F%20%20%20%2F%20____%2F%20____%2F%0A%20%20%20%20%20%20%20%20%20%20%2F%20%2F%7C_%2F%20%2F%20__%2F%20%2F%20%2F%20%20%20%2F%20__%2F%20%2F%20__%2F%20%20%20%0A%20%20%20%20%20%20%20%20%20%2F%20%2F%20%20%2F%20%2F%20%2F___%2F%20%2F___%2F%20%2F___%2F%20%2F___%20%20%20%0A%20%20%20%20%20%20%20%20%2F_%2F%20%20%2F_%2F_____%2F_____%2F_____%2F_____%2F%20%20%20%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%0A%0A%20%20%20%20%20%20%20%20MELEE%20(may-lay)%3A%20A%20Tool%20to%20Detect%20Potential%20Infections%20in%20MySQL%20Deployments!%0A%20%20%20%20%20%20%20%20Authored%20by%3A%20Aditya%20K%20Sood%20%7Bhttps%3A%2F%2Fadityaksood.com%7D%20%0A%20%20%20%20%20%20%20%20%0A%09——————————————————————–%0A%0A%5B*%5D%20%7B%20MELEE%20%7D%20Tool%20Usage%3A%0A%0A%5B*%5D%20%7B%20MELEE%20%7D%20-%20MySQLDB%20Ransomware%20Infection%20Detector%20…..%0A%0A%5B*%5D%20usage%3A%20melee.py%20%20%3Cmysql%20host%20(local%20or%20remote)%3E%20%3Cmysql%20service%20port%3E%20%3Cmysql%20username%3E%20%3Cmysql%20password%3E%20%3Cmodule%3E%0A%5B*%5D%20MELEE%20supported%20modules%3A%0A%20%20%20%20%20-%20map_mysql_geoip%3A%20map%20the%20GeoIP%20presence%20of%20the%20MySQL%20host%0A%20%20%20%20%20-%20check_anonymous_access%3A%20verify%20if%20the%20remote%20MySQL%20host%20has%20anonymous%20access%0A%20%20%20%20%20-%20enum_mysql_db_names%3A%20enumerate%20all%20the%20available%20MySQL%20databases%0A%20%20%20%20%20-%20enum_mysql_db_tables%3A%20enumerate%20all%20the%20tables%20in%20active%20databases%0A%20%20%20%20%20-%20enum_mysql_db_users%3A%20enumerate%20all%20the%20user%20names%20related%20to%20MySQL%20database%20(MySQL%20user)%20only%0A%20%20%20%20%20-%20enum_active_users%3A%20enumerate%20all%20the%20logged-in%20users%20(information_schema.process%20list)%20only%0A%20%20%20%20%20-%20check_ransomware_infection%3A%20detect%20a%20potential%20ransomware%20infection%0A%20%20%20%20%20-%20deep_scan_ransomware_infection%3A%20launch%20a%20deep%20scan%20to%20extract%20infected%20resources%20and%20a%20ransom%20message%0A%0A%5B*%5D%20example%3A%20melee.py%2099.34.123.xxx%203306%20root%20root%20check_ransomware_infection%0A%5B*%5D%20example%3A%20melee.py%2089.34.451.xxx%203306%20root%20%22%22%20deep_scan_ransomware_infection%0A%0A%0A%5B*%5D%20tool%20considerations%3A%0A%20%20%20%20%20-%20for%20ransom%20message%20analysis%2C%20the%20file%20is%20dumped%20to%20the%20local%20directory%20with%20%3Cmysql_host%3E_ransom_message.txt%0A%20%20%20%20%20-%20for%20the%20anonymous%20access%20module%2C%20do%20not%20supply%20any%20password%20with%20a%20username%0A%20%20%20%20%20-%20for%20weak%20authentication%20credentials%2C%20use%20combinations%20such%20as%20%3Croot%3Aroot%3E%2C%20or%20other%20combinations%0A”/]

Source: https://github.com/adityaks/