„Khunt“-Angriff: Wie Hacker eine Oracle-Datenbank in eine Angriffsplattform verwandelten
Im Juli 2026 entdeckte Huntress eine SQL Injection Attacke: Angreifer injizierten das gesamte „Khunt“ Post Exploitation Toolkit als Java Schema Objekte in eine Oracle Datenbank – ohne eine einzige Datei auf der Festpl... Das Toolkit enthielt Module für Befehlsausführung (KhuntCmd), Hash Extraktion (KhuntHash) und Da...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Im Juli 2026 entdeckte Huntress eine SQL Injection Attacke: Angreifer injizierten das gesamte „Khunt“ Post Exploitation Toolkit als Java Schema Objekte in eine Oracle Datenbank – ohne eine einzige Datei auf der Festpl...
Das Toolkit enthielt Module für Befehlsausführung (KhuntCmd), Hash Extraktion (KhuntHash) und Dateimanipulation (KhuntFS/FS2).
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Am 27. Juli 2026 wurde das Sicherheitsunternehmen Huntress auf einen Vorfall mit Credential-Theft auf einem Server mit einer Oracle-Datenbank aufmerksam . Bei der Untersuchung stellte sich heraus, dass die Angreifer eine klassische SQL-Injection-Lücke ausgenutzt hatten – kein Zero-Day, sondern eine altbekannte Schwachstelle in einer öffentlich erreichbaren Java-/Tomcat-Webanwendung .
Das Besondere an diesem Angriff: Standardmäßig legen Angreifer nach einem erfolgreichen Einbruch Schadsoftware auf der Festplatte ab. Hier wählten die Täter einen anderen Weg. Sie nutzten die in Oracle integrierte Java Virtual Machine (JVM) und die CREATE JAVA SOURCE-Anweisung, um ein komplettes Post-Exploitation-Toolkit namens „khunt“ als Java-Schema-Objekte direkt in der Datenbank zu kompilieren und zu speichern . Dadurch umging das Toolkit klassische Endpoint Detection and Response (EDR)- und Antiviren-Lösungen, die nur Prozesse, Binärdateien und Dateien im Betriebssystem überwachen – nicht aber Java-Klassen und PL/SQL-Wrapper in einer Oracle-Datenbank .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „„Khunt“-Angriff: Wie Hacker eine Oracle-Datenbank in eine Angriffsplattform verwandelten“?
Im Juli 2026 entdeckte Huntress eine SQL Injection Attacke: Angreifer injizierten das gesamte „Khunt“ Post Exploitation Toolkit als Java Schema Objekte in eine Oracle Datenbank – ohne eine einzige Datei auf der Festpl...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Im Juli 2026 entdeckte Huntress eine SQL Injection Attacke: Angreifer injizierten das gesamte „Khunt“ Post Exploitation Toolkit als Java Schema Objekte in eine Oracle Datenbank – ohne eine einzige Datei auf der Festpl... Das Toolkit enthielt Module für Befehlsausführung (KhuntCmd), Hash Extraktion (KhuntHash) und Dateimanipulation (KhuntFS/FS2).
„Khunt“-Angriff: Wie Hacker eine Oracle-Datenbank in eine Angriffsplattform verwandelten
Im Juli 2026 entdeckte Huntress eine SQL Injection Attacke: Angreifer injizierten das gesamte „Khunt“ Post Exploitation Toolkit als Java Schema Objekte in eine Oracle Datenbank – ohne eine einzige Datei auf der Festpl... Das Toolkit enthielt Module für Befehlsausführung (KhuntCmd), Hash Extraktion (KhuntHash) und Da...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Im Juli 2026 entdeckte Huntress eine SQL Injection Attacke: Angreifer injizierten das gesamte „Khunt“ Post Exploitation Toolkit als Java Schema Objekte in eine Oracle Datenbank – ohne eine einzige Datei auf der Festpl...
Das Toolkit enthielt Module für Befehlsausführung (KhuntCmd), Hash Extraktion (KhuntHash) und Dateimanipulation (KhuntFS/FS2).
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Am 27. Juli 2026 wurde das Sicherheitsunternehmen Huntress auf einen Vorfall mit Credential-Theft auf einem Server mit einer Oracle-Datenbank aufmerksam . Bei der Untersuchung stellte sich heraus, dass die Angreifer eine klassische SQL-Injection-Lücke ausgenutzt hatten – kein Zero-Day, sondern eine altbekannte Schwachstelle in einer öffentlich erreichbaren Java-/Tomcat-Webanwendung .
Das Besondere an diesem Angriff: Standardmäßig legen Angreifer nach einem erfolgreichen Einbruch Schadsoftware auf der Festplatte ab. Hier wählten die Täter einen anderen Weg. Sie nutzten die in Oracle integrierte Java Virtual Machine (JVM) und die CREATE JAVA SOURCE-Anweisung, um ein komplettes Post-Exploitation-Toolkit namens „khunt“ als Java-Schema-Objekte direkt in der Datenbank zu kompilieren und zu speichern . Dadurch umging das Toolkit klassische Endpoint Detection and Response (EDR)- und Antiviren-Lösungen, die nur Prozesse, Binärdateien und Dateien im Betriebssystem überwachen – nicht aber Java-Klassen und PL/SQL-Wrapper in einer Oracle-Datenbank .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „„Khunt“-Angriff: Wie Hacker eine Oracle-Datenbank in eine Angriffsplattform verwandelten“?
Im Juli 2026 entdeckte Huntress eine SQL Injection Attacke: Angreifer injizierten das gesamte „Khunt“ Post Exploitation Toolkit als Java Schema Objekte in eine Oracle Datenbank – ohne eine einzige Datei auf der Festpl...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Im Juli 2026 entdeckte Huntress eine SQL Injection Attacke: Angreifer injizierten das gesamte „Khunt“ Post Exploitation Toolkit als Java Schema Objekte in eine Oracle Datenbank – ohne eine einzige Datei auf der Festpl... Das Toolkit enthielt Module für Befehlsausführung (KhuntCmd), Hash Extraktion (KhuntHash) und Dateimanipulation (KhuntFS/FS2).
Die Angriffskette: Von der Autovervollständigung zur Datenbank-Übernahme
Der erste Zugang erfolgte über eine SQL-Injection-Schwachstelle in einer öffentlich zugänglichen Java-Anwendung auf Apache Tomcat . Eine Autocomplete-Suchfunktion der Anwendung filterte Benutzereingaben nicht ausreichend, sodass die Angreifer über eine JDBC-Verbindung eigene SQL-Befehle in die Oracle-Datenbank einschleusen konnten . Wie die Forscher von Huntress betonen: SQL-Injection ist keine neue Angriffsform – sie passiert, wenn Eingaben, die an den SQL-Server gehen, nicht ordnungsgemäß bereinigt werden .
Das Khunt-Toolkit – Unsichtbar in der Datenbank
Die Angreifer setzten kein einziges Schadprogramm auf die Festplatte. Stattdessen nutzten sie Oracles JVM und speicherten das Toolkit als Java-Schema-Objekte in der Datenbank . Dadurch blieb es für Betriebssystem-Ebene unsichtbar, da EDR- und AV-Tools Java-Klassen und PL/SQL-Wrapper in Oracle nicht überprüfen .
Das Toolkit bestand aus folgenden Komponenten, die jeweils als Datenbankobjekt abgelegt waren:
Komponente
Funktion
KhuntCmd
Lädt cmd.exe und führt beliebige Betriebssystembefehle aus, die als SQL-Statements an die Datenbank gesendet werden
KhuntHash
Extrahiert Benutzernamen und Passwort-Hashes aus Oracles internen Benutzertabellen und speichert sie in einer Datei
KhuntFS / KhuntFS2
Datei-Explorer zum Auflisten, Lesen, Durchsuchen und Prüfen von Dateigrößen
KhuntT
Ein einfaches „Ping“-Tool, um die Installation des Toolkits zu bestätigen
KhuntUnzip
Dienstprogramm zum Entpacken von ZIP-Dateien
khunt_ PL/SQL-Wrapper*
PL/SQL-Wrapper-Prozeduren zum Aufruf der zugrunde liegenden Java-Methoden
Vom Datenbanksystem zur Windows-Vollkontrolle
Die Angreifer beschränkten sich nicht auf die Datenbank. Über das Toolkit gelangten sie in mehreren Schritten zur vollständigen Kontrolle über den Windows-Server :
Betriebssystembefehle ausführen: Mit KhuntCmd starteten sie cmd.exe /c whoami und stellten fest, dass sie mit SYSTEM-Rechten arbeiteten – der höchsten Berechtigungsstufe unter Windows .
Passwort-Hashes extrahieren: Per PowerShell riefen sie reg.exe auf und kopierten die Registry-Hives „SECURITY“ und „SYSTEM“ in die Dateien khuntSECURITY.hiv und khuntSYSTEM.hiv im Verzeichnis F:\Oracle\.
Dienste auslesen: Sie ließen tasklist /svc laufen und speicherten die Ausgabe in khunttasks.txt.
Weitere Hives kopieren: Mit esentutl.exe kopierten sie die SAM- sowie eine zweite Kopie der SECURITY-Hives und speicherten sie als khuntSAM.hiv und khunt_SECURITY.hiv.
Die erbeuteten Registry-Hives können offline genutzt werden, um die Passwort-Hashes aller lokalen Konten zu extrahieren und zu entschlüsseln .
Gefährliche Blindstellen in der Unternehmenssicherheit
Huntress‘ Untersuchung offenbarte mehrere kritische Sicherheitslücken, die diesen Angriff ermöglichten :
Datenbank als Angriffsplattform: Die Datenbank wurde von einem passiven Datenspeicher in eine aktive Angriffsplattform verwandelt, wobei die Schadsoftware in der Datenbank und nicht auf der Festplatte oder im Arbeitsspeicher lebte .
EDR/AV-Umgehung: Herkömmliche EDR- und Antiviren-Tools überprüfen Java-Klassen und PL/SQL-Wrapper in Oracle nicht – das Toolkit blieb unsichtbar .
Altbekannte Schwachstelle, neuartige Ausnutzung: Die SQL-Injection war keine Zero-Day-Lücke. Die Autocomplete-Funktion genügte, um über PL/SQL zum Betriebssystem zu gelangen. Basis-Fehler bei der Eingabevalidierung können zu tiefgreifenden Kompromittierungen führen, wenn die Datenbank-Engine über Betriebssystem-Funktionen verfügt .
Überdimensionierte Datenbankkonten: Selbst wenn eine SQL-Injection gelingt, bleibt der Schaden begrenzt, wenn das Datenbankkonto nicht über die Berechtigungen zum Erstellen von Java-Quellen oder zum Ausführen von gespeicherten Prozeduren verfügt. Viele Organisationen gewähren ihren Datenbankkonten zu viele Rechte – die Angreifer nutzten dies aus, um Khunt zu installieren .
Schutzmaßnahmen: Empfehlungen von Huntress
Huntress empfiehlt aufgrund dieses Vorfalls :
Gründliche Eingabevalidierung und Verwendung von parametrisierten Abfragen für alle Webeingaben
Einschränkung der Datenbank-Benutzerrechte, sodass injizierte Abfragen keine Java-Quellen erstellen oder beliebige gespeicherte Prozeduren ausführen können
Erweiterung der Überwachung auf Datenbankobjekte (Java-Klassen, PL/SQL-Wrapper) und nicht nur auf Betriebssystem-Ebene
Dieser Angriff ist eine eindringliche Erinnerung daran, dass Datenbank-Engines mit eingebauten Programmierumgebungen (wie Oracles JVM) zu heimtückischen Angriffsplattformen werden können – selbst durch eine einzige ungeprüfte Eingabe von außen. Sicherheitsteams müssen ihren Fokus über das Betriebssystem hinaus auf die Datenbank-Objektebene ausdehnen.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
Die Angriffskette: Von der Autovervollständigung zur Datenbank-Übernahme
Der erste Zugang erfolgte über eine SQL-Injection-Schwachstelle in einer öffentlich zugänglichen Java-Anwendung auf Apache Tomcat . Eine Autocomplete-Suchfunktion der Anwendung filterte Benutzereingaben nicht ausreichend, sodass die Angreifer über eine JDBC-Verbindung eigene SQL-Befehle in die Oracle-Datenbank einschleusen konnten . Wie die Forscher von Huntress betonen: SQL-Injection ist keine neue Angriffsform – sie passiert, wenn Eingaben, die an den SQL-Server gehen, nicht ordnungsgemäß bereinigt werden .
Das Khunt-Toolkit – Unsichtbar in der Datenbank
Die Angreifer setzten kein einziges Schadprogramm auf die Festplatte. Stattdessen nutzten sie Oracles JVM und speicherten das Toolkit als Java-Schema-Objekte in der Datenbank . Dadurch blieb es für Betriebssystem-Ebene unsichtbar, da EDR- und AV-Tools Java-Klassen und PL/SQL-Wrapper in Oracle nicht überprüfen .
Das Toolkit bestand aus folgenden Komponenten, die jeweils als Datenbankobjekt abgelegt waren:
Komponente
Funktion
KhuntCmd
Lädt cmd.exe und führt beliebige Betriebssystembefehle aus, die als SQL-Statements an die Datenbank gesendet werden
KhuntHash
Extrahiert Benutzernamen und Passwort-Hashes aus Oracles internen Benutzertabellen und speichert sie in einer Datei
KhuntFS / KhuntFS2
Datei-Explorer zum Auflisten, Lesen, Durchsuchen und Prüfen von Dateigrößen
KhuntT
Ein einfaches „Ping“-Tool, um die Installation des Toolkits zu bestätigen
KhuntUnzip
Dienstprogramm zum Entpacken von ZIP-Dateien
khunt_ PL/SQL-Wrapper*
PL/SQL-Wrapper-Prozeduren zum Aufruf der zugrunde liegenden Java-Methoden
Vom Datenbanksystem zur Windows-Vollkontrolle
Die Angreifer beschränkten sich nicht auf die Datenbank. Über das Toolkit gelangten sie in mehreren Schritten zur vollständigen Kontrolle über den Windows-Server :
Betriebssystembefehle ausführen: Mit KhuntCmd starteten sie cmd.exe /c whoami und stellten fest, dass sie mit SYSTEM-Rechten arbeiteten – der höchsten Berechtigungsstufe unter Windows .
Passwort-Hashes extrahieren: Per PowerShell riefen sie reg.exe auf und kopierten die Registry-Hives „SECURITY“ und „SYSTEM“ in die Dateien khuntSECURITY.hiv und khuntSYSTEM.hiv im Verzeichnis F:\Oracle\.
Dienste auslesen: Sie ließen tasklist /svc laufen und speicherten die Ausgabe in khunttasks.txt.
Weitere Hives kopieren: Mit esentutl.exe kopierten sie die SAM- sowie eine zweite Kopie der SECURITY-Hives und speicherten sie als khuntSAM.hiv und khunt_SECURITY.hiv.
Die erbeuteten Registry-Hives können offline genutzt werden, um die Passwort-Hashes aller lokalen Konten zu extrahieren und zu entschlüsseln .
Gefährliche Blindstellen in der Unternehmenssicherheit
Huntress‘ Untersuchung offenbarte mehrere kritische Sicherheitslücken, die diesen Angriff ermöglichten :
Datenbank als Angriffsplattform: Die Datenbank wurde von einem passiven Datenspeicher in eine aktive Angriffsplattform verwandelt, wobei die Schadsoftware in der Datenbank und nicht auf der Festplatte oder im Arbeitsspeicher lebte .
EDR/AV-Umgehung: Herkömmliche EDR- und Antiviren-Tools überprüfen Java-Klassen und PL/SQL-Wrapper in Oracle nicht – das Toolkit blieb unsichtbar .
Altbekannte Schwachstelle, neuartige Ausnutzung: Die SQL-Injection war keine Zero-Day-Lücke. Die Autocomplete-Funktion genügte, um über PL/SQL zum Betriebssystem zu gelangen. Basis-Fehler bei der Eingabevalidierung können zu tiefgreifenden Kompromittierungen führen, wenn die Datenbank-Engine über Betriebssystem-Funktionen verfügt .
Überdimensionierte Datenbankkonten: Selbst wenn eine SQL-Injection gelingt, bleibt der Schaden begrenzt, wenn das Datenbankkonto nicht über die Berechtigungen zum Erstellen von Java-Quellen oder zum Ausführen von gespeicherten Prozeduren verfügt. Viele Organisationen gewähren ihren Datenbankkonten zu viele Rechte – die Angreifer nutzten dies aus, um Khunt zu installieren .
Schutzmaßnahmen: Empfehlungen von Huntress
Huntress empfiehlt aufgrund dieses Vorfalls :
Gründliche Eingabevalidierung und Verwendung von parametrisierten Abfragen für alle Webeingaben
Einschränkung der Datenbank-Benutzerrechte, sodass injizierte Abfragen keine Java-Quellen erstellen oder beliebige gespeicherte Prozeduren ausführen können
Erweiterung der Überwachung auf Datenbankobjekte (Java-Klassen, PL/SQL-Wrapper) und nicht nur auf Betriebssystem-Ebene
Dieser Angriff ist eine eindringliche Erinnerung daran, dass Datenbank-Engines mit eingebauten Programmierumgebungen (wie Oracles JVM) zu heimtückischen Angriffsplattformen werden können – selbst durch eine einzige ungeprüfte Eingabe von außen. Sicherheitsteams müssen ihren Fokus über das Betriebssystem hinaus auf die Datenbank-Objektebene ausdehnen.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
