هجوم خونت (Khunt): اختراق قاعدة بيانات أوراكل وتحويلها إلى منصة هجوم متطورة
في يوليو 2026، اكتشفت هانتريس هجوم SQL injection استغل فيه المهاجمون تطبيق ويب جافا عامًا لزرع مجموعة أدوات "خونت" (khunt) كاملة ككائنات جافا داخل قاعدة بيانات أوراكل. تضمنت المجموعة أدوات لتنفيذ الأوامر (KhuntCmd)، واستخراج التجزئة (KhuntHash)، وتصفح الملفات (KhuntFS/FS2)، مما منح المهاجمين صلاحيات SYSTEM الكاملة ع...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
في يوليو 2026، اكتشفت هانتريس هجوم SQL injection استغل فيه المهاجمون تطبيق ويب جافا عامًا لزرع مجموعة أدوات "خونت" (khunt) كاملة ككائنات جافا داخل قاعدة بيانات أوراكل.
تضمنت المجموعة أدوات لتنفيذ الأوامر (KhuntCmd)، واستخراج التجزئة (KhuntHash)، وتصفح الملفات (KhuntFS/FS2)، مما منح المهاجمين صلاحيات SYSTEM الكاملة على خادم ويندوز.
سلطت هانتريس الضوء على نقاط عمياء حرجة: أدوات EDR ومكافحة الفيروسات لا تفحص كائنات جافا و PL/SQL داخل أوراكل، كما أن صلاحيات حسابات قواعد البيانات المفرطة سهلت الهجوم.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
في 27 يوليو 2026، تم تنبيه شركة الأمن السيبراني "هانتريس" (Huntress) إلى نشاط سرقة بيانات اعتماد على خادم يستضيف قاعدة بيانات أوراكل . كشف التحقيق عن هجوم SQL injection مُحكم—لم يستغل ثغرة يوم-صفر، بل استغل فئة ثغرات معروفة في تطبيق ويب جافا/تومكات عام. ما ميّز هذا الهجوم هو أسلوب المهاجمين: بدلاً من إسقاط ملفات على القرص الصلب، استخدموا آلة جافا الافتراضية المدمجة في أوراكل (Oracle JVM) لتجميع وتخزين مجموعة أدوات كاملة للاستغلال اللاحق تُسمى "خونت" (khunt) ككائنات جافا (Java schema objects) داخل قاعدة البيانات نفسها. هذا الأسلوب سمح للمجموعة بتجنب اكتشاف أنظمة الحماية التقليدية (EDR ومكافحة الفيروسات)، والتي لا تفحص كائنات قاعدة البيانات. ومن هناك، انتقل المهاجمون إلى نظام ويندوز الأساسي، محققين تنفيذًا كاملاً للأوامر عن بُعد (RCE) بصلاحيات النظام (SYSTEM-level)، واستخرجوا سجلات التسجيل (registry hives) التي تحتوي على تجزئات كلمات المرور، وقاموا بتسريبها. تتبعت هانتريس البنية التحتية للمهاجمين إلى عنوان IP 178.162.151[.]229 .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "هجوم خونت (Khunt): اختراق قاعدة بيانات أوراكل وتحويلها إلى منصة هجوم متطورة"؟
في يوليو 2026، اكتشفت هانتريس هجوم SQL injection استغل فيه المهاجمون تطبيق ويب جافا عامًا لزرع مجموعة أدوات "خونت" (khunt) كاملة ككائنات جافا داخل قاعدة بيانات أوراكل.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
في يوليو 2026، اكتشفت هانتريس هجوم SQL injection استغل فيه المهاجمون تطبيق ويب جافا عامًا لزرع مجموعة أدوات "خونت" (khunt) كاملة ككائنات جافا داخل قاعدة بيانات أوراكل. تضمنت المجموعة أدوات لتنفيذ الأوامر (KhuntCmd)، واستخراج التجزئة (KhuntHash)، وتصفح الملفات (KhuntFS/FS2)، مما منح المهاجمين صلاحيات SYSTEM الكاملة على خادم ويندوز.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
سلطت هانتريس الضوء على نقاط عمياء حرجة: أدوات EDR ومكافحة الفيروسات لا تفحص كائنات جافا و PL/SQL داخل أوراكل، كما أن صلاحيات حسابات قواعد البيانات المفرطة سهلت الهجوم.
هجوم خونت (Khunt): اختراق قاعدة بيانات أوراكل وتحويلها إلى منصة هجوم متطورة
في يوليو 2026، اكتشفت هانتريس هجوم SQL injection استغل فيه المهاجمون تطبيق ويب جافا عامًا لزرع مجموعة أدوات "خونت" (khunt) كاملة ككائنات جافا داخل قاعدة بيانات أوراكل. تضمنت المجموعة أدوات لتنفيذ الأوامر (KhuntCmd)، واستخراج التجزئة (KhuntHash)، وتصفح الملفات (KhuntFS/FS2)، مما منح المهاجمين صلاحيات SYSTEM الكاملة ع...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
في يوليو 2026، اكتشفت هانتريس هجوم SQL injection استغل فيه المهاجمون تطبيق ويب جافا عامًا لزرع مجموعة أدوات "خونت" (khunt) كاملة ككائنات جافا داخل قاعدة بيانات أوراكل.
تضمنت المجموعة أدوات لتنفيذ الأوامر (KhuntCmd)، واستخراج التجزئة (KhuntHash)، وتصفح الملفات (KhuntFS/FS2)، مما منح المهاجمين صلاحيات SYSTEM الكاملة على خادم ويندوز.
سلطت هانتريس الضوء على نقاط عمياء حرجة: أدوات EDR ومكافحة الفيروسات لا تفحص كائنات جافا و PL/SQL داخل أوراكل، كما أن صلاحيات حسابات قواعد البيانات المفرطة سهلت الهجوم.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
في 27 يوليو 2026، تم تنبيه شركة الأمن السيبراني "هانتريس" (Huntress) إلى نشاط سرقة بيانات اعتماد على خادم يستضيف قاعدة بيانات أوراكل . كشف التحقيق عن هجوم SQL injection مُحكم—لم يستغل ثغرة يوم-صفر، بل استغل فئة ثغرات معروفة في تطبيق ويب جافا/تومكات عام. ما ميّز هذا الهجوم هو أسلوب المهاجمين: بدلاً من إسقاط ملفات على القرص الصلب، استخدموا آلة جافا الافتراضية المدمجة في أوراكل (Oracle JVM) لتجميع وتخزين مجموعة أدوات كاملة للاستغلال اللاحق تُسمى "خونت" (khunt) ككائنات جافا (Java schema objects) داخل قاعدة البيانات نفسها. هذا الأسلوب سمح للمجموعة بتجنب اكتشاف أنظمة الحماية التقليدية (EDR ومكافحة الفيروسات)، والتي لا تفحص كائنات قاعدة البيانات. ومن هناك، انتقل المهاجمون إلى نظام ويندوز الأساسي، محققين تنفيذًا كاملاً للأوامر عن بُعد (RCE) بصلاحيات النظام (SYSTEM-level)، واستخرجوا سجلات التسجيل (registry hives) التي تحتوي على تجزئات كلمات المرور، وقاموا بتسريبها. تتبعت هانتريس البنية التحتية للمهاجمين إلى عنوان IP 178.162.151[.]229 .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "هجوم خونت (Khunt): اختراق قاعدة بيانات أوراكل وتحويلها إلى منصة هجوم متطورة"؟
في يوليو 2026، اكتشفت هانتريس هجوم SQL injection استغل فيه المهاجمون تطبيق ويب جافا عامًا لزرع مجموعة أدوات "خونت" (khunt) كاملة ككائنات جافا داخل قاعدة بيانات أوراكل.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
في يوليو 2026، اكتشفت هانتريس هجوم SQL injection استغل فيه المهاجمون تطبيق ويب جافا عامًا لزرع مجموعة أدوات "خونت" (khunt) كاملة ككائنات جافا داخل قاعدة بيانات أوراكل. تضمنت المجموعة أدوات لتنفيذ الأوامر (KhuntCmd)، واستخراج التجزئة (KhuntHash)، وتصفح الملفات (KhuntFS/FS2)، مما منح المهاجمين صلاحيات SYSTEM الكاملة على خادم ويندوز.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
سلطت هانتريس الضوء على نقاط عمياء حرجة: أدوات EDR ومكافحة الفيروسات لا تفحص كائنات جافا و PL/SQL داخل أوراكل، كما أن صلاحيات حسابات قواعد البيانات المفرطة سهلت الهجوم.
آلية الهجوم: SQL injection عبر ميزة الإكمال التلقائي
كان ناقل الوصول الأولي هو ثغرة SQL injection في تطبيق جافا يعمل على Apache Tomcat . فشلت ميزة البحث بالإكمال التلقائي (autocomplete search) في التطبيق في التحقق من صحة المدخلات، مما سمح للمهاجمين بحقن أوامر SQL عبر اتصال JDBC بقاعدة بيانات أوراكل . كما لاحظ باحثو هانتريس، هذه ليست فئة ثغرات جديدة—هجمات SQL injection موجودة منذ عقود وتحدث عادةً نتيجة سوء معالجة المدخلات . فشل التطبيق في تنظيف حقل بحث بسيط كان كافيًا لبدء سلسلة الاختراق.
مجموعة أدوات خونت: العيش داخل قاعدة البيانات ككائنات جافا
بدلاً من نشر ملفات برمجيات ضارة تقليدية على الخادم المخترق، استخدم المهاجمون آلة جافا الافتراضية المدمجة في أوراكل وبيان CREATE JAVA SOURCE لتجميع وتخزين مجموعة أدوات الاستغلال اللاحق بأكملها ككائنات جافا داخل قاعدة البيانات . هذا النهج جعل المجموعة غير مرئية لدفاعات نظام التشغيل القياسية، لأن أدوات EDR ومكافحة الفيروسات تركز على العمليات والملفات الثنائية على نظام التشغيل—وهي لا تفحص بشكل عام فئات جافا ووحدات PL/SQL المخزنة داخل أوراكل .
تضمنت مجموعة أدوات خونت المكونات التالية، كل منها مخزّن ككائن قاعدة بيانات:
المكون
الوظيفة
KhuntCmd
تحميل cmd.exe وتنفيذ أوامر نظام تشغيل عشوائية عبر تضمينها في جمل SQL
KhuntHash
استخراج أسماء المستخدمين وتجزئات كلمات المرور من جداول المستخدمين الداخلية في أوراكل وحفظها في ملف
KhuntFS / KhuntFS2
أدوات استكشاف ملفات لسرد وقراءة والبحث والتحقق من أحجام الملفات
KhuntT
أداة "ping" بسيطة لتأكيد تثبيت المجموعة وإمكانية الوصول إليها
KhuntUnzip
أداة لفك ضغط الملفات
khunt_ وحدات PL/SQL*
إجراءات تغليف PL/SQL لاستدعاء طرق جافا الأساسية
السيطرة الكاملة على النظام: من قاعدة البيانات إلى ويندوز
لم يتوقف المهاجمون عند الوصول إلى قاعدة البيانات. استخدموا مجموعة أدوات خونت للانتقال من طبقة قاعدة البيانات إلى نظام ويندوز الأساسي في عملية متعددة الخطوات:
تنفيذ أوامر نظام التشغيل عبر KhuntCmd: استخدموا وحدة KhuntCmd لتشغيل cmd.exe /c whoami، مما أكد أنهم يعملون بصلاحيات SYSTEM على خادم ويندوز .
سرقة بيانات الاعتماد: استخدموا PowerShell لاستدعاء reg.exe ونسخ سجلي التسجيل SECURITY و SYSTEM، وحفظهما باسم khuntSECURITY.hiv و khuntSYSTEM.hiv في F:\Oracle\.
جرد الخدمات: شغّلوا tasklist /svc وحفظوا الإخراج باسم khunttasks.txt.
استخراج سجلات إضافية: استخدموا esentutl.exe لنسخ سجل SAM ونسخة ثانية من SECURITY، وحفظهما باسم khuntSAM.hiv و khunt_SECURITY.hiv.
يمكن استخدام سجلات التسجيل المسربة في وضع عدم الاتصال لاستخراج وفك تشفير تجزئات كلمات المرور لجميع الحسابات المحلية .
النقاط العمياء الدفاعية: النتائج الرئيسية لهانتريس
كشف تحقيق هانتريس عن عدة نقاط عمياء حرجة سمحت بنجاح الهجوم وتجنب اكتشافه:
تحويل قاعدة البيانات إلى نقطة انطلاق: تحولت قاعدة البيانات من مخزن بيانات سلبي إلى منصة هجوم نشطة، مع وجود المجموعة الضارة داخل قاعدة البيانات بدلاً من القرص أو الذاكرة .
تجنب EDR ومكافحة الفيروسات: لا تفحص أدوات EDR ومكافحة الفيروسات التقليدية فئات جافا ووحدات PL/SQL المخزنة داخل أوراكل، مما يجعل المجموعة غير مرئية لدفاعات نظام التشغيل .
ثغرة كلاسيكية، توصيل جديد: ثغرة SQL injection الأولية كانت من نوع معروف. لم تكن هناك حاجة لثغرة يوم-صفر. كانت ميزة الإكمال التلقائي كافية للوصول إلى PL/SQL ثم نظام التشغيل، مما يظهر أن فشل التحقق الأساسي من المدخلات يمكن أن يؤدي إلى اختراق عميق عندما يكون لمحرك قاعدة البيانات إمكانيات على مستوى نظام التشغيل .
صلاحيات حسابات قاعدة بيانات مفرطة: حتى بعد نجاح SQL injection، يكون الضرر محدودًا إذا كان حساب مستخدم قاعدة البيانات يفتقر إلى صلاحيات إنشاء مصادر جافا أو تنفيذ الإجراءات المخزنة. غالبًا ما تمنح المؤسسات صلاحيات مفرطة لحسابات قاعدة البيانات، مما يعطي المهاجمين الأذونات الإضافية اللازمة لنشر خونت .
التوصيات التخفيفية من هانتريس
بناءً على هذا الهجوم، أوصت هانتريس بعدة إجراءات تخفيفية :
تنظيف المدخلات واستخدام الاستعلامات المُعاملية (parameterized queries) لجميع مدخلات الويب
تقييد صلاحيات مستخدمي قاعدة البيانات بحيث لا تستطيع الاستعلامات المحقونة إنشاء مصادر جافا أو تنفيذ إجراءات مخزنة عشوائية
توسيع نطاق المراقبة ليشمل كائنات قاعدة البيانات (فئات جافا، وحدات PL/SQL) بدلاً من مقتنيات نظام التشغيل فقط
هذا الهجوم هو تذكير صارخ بأن محركات قواعد البيانات مع بيئات البرمجة المدمجة (مثل JVM في أوراكل) يمكن أن تتحول إلى منصات هجوم خفية عندما تقترن بحقل إدخال واحد غير موثوق. يجب على فرق الأمن توسيع مراقبتها لتشمل طبقة كائنات قاعدة البيانات.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
آلية الهجوم: SQL injection عبر ميزة الإكمال التلقائي
كان ناقل الوصول الأولي هو ثغرة SQL injection في تطبيق جافا يعمل على Apache Tomcat . فشلت ميزة البحث بالإكمال التلقائي (autocomplete search) في التطبيق في التحقق من صحة المدخلات، مما سمح للمهاجمين بحقن أوامر SQL عبر اتصال JDBC بقاعدة بيانات أوراكل . كما لاحظ باحثو هانتريس، هذه ليست فئة ثغرات جديدة—هجمات SQL injection موجودة منذ عقود وتحدث عادةً نتيجة سوء معالجة المدخلات . فشل التطبيق في تنظيف حقل بحث بسيط كان كافيًا لبدء سلسلة الاختراق.
مجموعة أدوات خونت: العيش داخل قاعدة البيانات ككائنات جافا
بدلاً من نشر ملفات برمجيات ضارة تقليدية على الخادم المخترق، استخدم المهاجمون آلة جافا الافتراضية المدمجة في أوراكل وبيان CREATE JAVA SOURCE لتجميع وتخزين مجموعة أدوات الاستغلال اللاحق بأكملها ككائنات جافا داخل قاعدة البيانات . هذا النهج جعل المجموعة غير مرئية لدفاعات نظام التشغيل القياسية، لأن أدوات EDR ومكافحة الفيروسات تركز على العمليات والملفات الثنائية على نظام التشغيل—وهي لا تفحص بشكل عام فئات جافا ووحدات PL/SQL المخزنة داخل أوراكل .
تضمنت مجموعة أدوات خونت المكونات التالية، كل منها مخزّن ككائن قاعدة بيانات:
المكون
الوظيفة
KhuntCmd
تحميل cmd.exe وتنفيذ أوامر نظام تشغيل عشوائية عبر تضمينها في جمل SQL
KhuntHash
استخراج أسماء المستخدمين وتجزئات كلمات المرور من جداول المستخدمين الداخلية في أوراكل وحفظها في ملف
KhuntFS / KhuntFS2
أدوات استكشاف ملفات لسرد وقراءة والبحث والتحقق من أحجام الملفات
KhuntT
أداة "ping" بسيطة لتأكيد تثبيت المجموعة وإمكانية الوصول إليها
KhuntUnzip
أداة لفك ضغط الملفات
khunt_ وحدات PL/SQL*
إجراءات تغليف PL/SQL لاستدعاء طرق جافا الأساسية
السيطرة الكاملة على النظام: من قاعدة البيانات إلى ويندوز
لم يتوقف المهاجمون عند الوصول إلى قاعدة البيانات. استخدموا مجموعة أدوات خونت للانتقال من طبقة قاعدة البيانات إلى نظام ويندوز الأساسي في عملية متعددة الخطوات:
تنفيذ أوامر نظام التشغيل عبر KhuntCmd: استخدموا وحدة KhuntCmd لتشغيل cmd.exe /c whoami، مما أكد أنهم يعملون بصلاحيات SYSTEM على خادم ويندوز .
سرقة بيانات الاعتماد: استخدموا PowerShell لاستدعاء reg.exe ونسخ سجلي التسجيل SECURITY و SYSTEM، وحفظهما باسم khuntSECURITY.hiv و khuntSYSTEM.hiv في F:\Oracle\.
جرد الخدمات: شغّلوا tasklist /svc وحفظوا الإخراج باسم khunttasks.txt.
استخراج سجلات إضافية: استخدموا esentutl.exe لنسخ سجل SAM ونسخة ثانية من SECURITY، وحفظهما باسم khuntSAM.hiv و khunt_SECURITY.hiv.
يمكن استخدام سجلات التسجيل المسربة في وضع عدم الاتصال لاستخراج وفك تشفير تجزئات كلمات المرور لجميع الحسابات المحلية .
النقاط العمياء الدفاعية: النتائج الرئيسية لهانتريس
كشف تحقيق هانتريس عن عدة نقاط عمياء حرجة سمحت بنجاح الهجوم وتجنب اكتشافه:
تحويل قاعدة البيانات إلى نقطة انطلاق: تحولت قاعدة البيانات من مخزن بيانات سلبي إلى منصة هجوم نشطة، مع وجود المجموعة الضارة داخل قاعدة البيانات بدلاً من القرص أو الذاكرة .
تجنب EDR ومكافحة الفيروسات: لا تفحص أدوات EDR ومكافحة الفيروسات التقليدية فئات جافا ووحدات PL/SQL المخزنة داخل أوراكل، مما يجعل المجموعة غير مرئية لدفاعات نظام التشغيل .
ثغرة كلاسيكية، توصيل جديد: ثغرة SQL injection الأولية كانت من نوع معروف. لم تكن هناك حاجة لثغرة يوم-صفر. كانت ميزة الإكمال التلقائي كافية للوصول إلى PL/SQL ثم نظام التشغيل، مما يظهر أن فشل التحقق الأساسي من المدخلات يمكن أن يؤدي إلى اختراق عميق عندما يكون لمحرك قاعدة البيانات إمكانيات على مستوى نظام التشغيل .
صلاحيات حسابات قاعدة بيانات مفرطة: حتى بعد نجاح SQL injection، يكون الضرر محدودًا إذا كان حساب مستخدم قاعدة البيانات يفتقر إلى صلاحيات إنشاء مصادر جافا أو تنفيذ الإجراءات المخزنة. غالبًا ما تمنح المؤسسات صلاحيات مفرطة لحسابات قاعدة البيانات، مما يعطي المهاجمين الأذونات الإضافية اللازمة لنشر خونت .
التوصيات التخفيفية من هانتريس
بناءً على هذا الهجوم، أوصت هانتريس بعدة إجراءات تخفيفية :
تنظيف المدخلات واستخدام الاستعلامات المُعاملية (parameterized queries) لجميع مدخلات الويب
تقييد صلاحيات مستخدمي قاعدة البيانات بحيث لا تستطيع الاستعلامات المحقونة إنشاء مصادر جافا أو تنفيذ إجراءات مخزنة عشوائية
توسيع نطاق المراقبة ليشمل كائنات قاعدة البيانات (فئات جافا، وحدات PL/SQL) بدلاً من مقتنيات نظام التشغيل فقط
هذا الهجوم هو تذكير صارخ بأن محركات قواعد البيانات مع بيئات البرمجة المدمجة (مثل JVM في أوراكل) يمكن أن تتحول إلى منصات هجوم خفية عندما تقترن بحقل إدخال واحد غير موثوق. يجب على فرق الأمن توسيع مراقبتها لتشمل طبقة كائنات قاعدة البيانات.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
