Ataque Khunt: Hackers convierten una base de datos Oracle en una plataforma de ataque invisible
En julio de 2026, Huntress detectó un ataque de inyección SQL donde los atacantes aprovecharon una aplicación web Java/Tomcat pública para inyectar el toolkit 'khunt' como objetos Java dentro de una base de datos Orac... El toolkit incluía componentes para ejecución de comandos (KhuntCmd), extracción de hashes (Khun...
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
En julio de 2026, Huntress detectó un ataque de inyección SQL donde los atacantes aprovecharon una aplicación web Java/Tomcat pública para inyectar el toolkit 'khunt' como objetos Java dentro de una base de datos Orac...
El toolkit incluía componentes para ejecución de comandos (KhuntCmd), extracción de hashes (KhuntHash), exploración de archivos (KhuntFS/FS2) y más, logrando acceso a nivel SYSTEM en el servidor Windows subyacente.
Huntress destacó puntos ciegos críticos: las herramientas EDR/AV no inspeccionan clases Java ni wrappers PL/SQL dentro de Oracle, y las cuentas de base de datos con privilegios excesivos facilitaron el ataque.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
El 27 de julio de 2026, Huntress fue alertada por actividad de robo de credenciales en un servidor que alojaba una base de datos Oracle. La investigación reveló un sofisticado ataque de inyección SQL, que no explotaba un día cero, sino una clase de vulnerabilidad bien conocida en una aplicación web Java/Tomcat pública. Lo notable del ataque fue la técnica de los atacantes: en lugar de dejar archivos en el disco, utilizaron la Máquina Virtual Java integrada de Oracle para compilar y almacenar un kit de herramientas de post-explotación llamado "khunt" como objetos de esquema Java dentro de la propia base de datos. Esto permitió que el kit evadiera las herramientas tradicionales de detección y respuesta en endpoints (EDR) y antivirus, que no inspeccionan los objetos de la base de datos. Desde allí, los atacantes pivotaron hacia el sistema operativo Windows subyacente, logrando ejecución remota de código (RCE) a nivel SYSTEM, extrayendo archivos del registro con hashes de contraseñas y exfiltrándolos sin conexión. Huntress rastreó la infraestructura de los atacantes hasta la IP 178.162.151[.]229 .
Cómo funcionó el ataque: Inyección SQL a través de una búsqueda de autocompletado
El vector de acceso inicial fue una vulnerabilidad de inyección SQL en una aplicación Java pública que se ejecutaba en Apache Tomcat . La función de búsqueda con autocompletado de la aplicación no validaba correctamente la entrada del usuario, lo que permitía a los atacantes inyectar comandos SQL a través de una conexión JDBC a la base de datos Oracle . Como señalaron los investigadores de Huntress, esta no era una clase de vulnerabilidad novedosa: los ataques de inyección SQL existen desde hace décadas y, por lo general, son el resultado de un mal manejo de las entradas del usuario que van al servidor SQL . El fallo de la aplicación al no sanitizar un simple campo de búsqueda fue suficiente para iniciar la cadena de compromiso.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "Ataque Khunt: Hackers convierten una base de datos Oracle en una plataforma de ataque invisible"?
En julio de 2026, Huntress detectó un ataque de inyección SQL donde los atacantes aprovecharon una aplicación web Java/Tomcat pública para inyectar el toolkit 'khunt' como objetos Java dentro de una base de datos Orac...
¿Cuáles son los puntos clave a validar primero?
En julio de 2026, Huntress detectó un ataque de inyección SQL donde los atacantes aprovecharon una aplicación web Java/Tomcat pública para inyectar el toolkit 'khunt' como objetos Java dentro de una base de datos Orac... El toolkit incluía componentes para ejecución de comandos (KhuntCmd), extracción de hashes (KhuntHash), exploración de archivos (KhuntFS/FS2) y más, logrando acceso a nivel SYSTEM en el servidor Windows subyacente.
¿Qué debo hacer a continuación en la práctica?
Huntress destacó puntos ciegos críticos: las herramientas EDR/AV no inspeccionan clases Java ni wrappers PL/SQL dentro de Oracle, y las cuentas de base de datos con privilegios excesivos facilitaron el ataque.
Ataque Khunt: Hackers convierten una base de datos Oracle en una plataforma de ataque invisible
En julio de 2026, Huntress detectó un ataque de inyección SQL donde los atacantes aprovecharon una aplicación web Java/Tomcat pública para inyectar el toolkit 'khunt' como objetos Java dentro de una base de datos Orac... El toolkit incluía componentes para ejecución de comandos (KhuntCmd), extracción de hashes (Khun...
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
En julio de 2026, Huntress detectó un ataque de inyección SQL donde los atacantes aprovecharon una aplicación web Java/Tomcat pública para inyectar el toolkit 'khunt' como objetos Java dentro de una base de datos Orac...
El toolkit incluía componentes para ejecución de comandos (KhuntCmd), extracción de hashes (KhuntHash), exploración de archivos (KhuntFS/FS2) y más, logrando acceso a nivel SYSTEM en el servidor Windows subyacente.
Huntress destacó puntos ciegos críticos: las herramientas EDR/AV no inspeccionan clases Java ni wrappers PL/SQL dentro de Oracle, y las cuentas de base de datos con privilegios excesivos facilitaron el ataque.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
El 27 de julio de 2026, Huntress fue alertada por actividad de robo de credenciales en un servidor que alojaba una base de datos Oracle. La investigación reveló un sofisticado ataque de inyección SQL, que no explotaba un día cero, sino una clase de vulnerabilidad bien conocida en una aplicación web Java/Tomcat pública. Lo notable del ataque fue la técnica de los atacantes: en lugar de dejar archivos en el disco, utilizaron la Máquina Virtual Java integrada de Oracle para compilar y almacenar un kit de herramientas de post-explotación llamado "khunt" como objetos de esquema Java dentro de la propia base de datos. Esto permitió que el kit evadiera las herramientas tradicionales de detección y respuesta en endpoints (EDR) y antivirus, que no inspeccionan los objetos de la base de datos. Desde allí, los atacantes pivotaron hacia el sistema operativo Windows subyacente, logrando ejecución remota de código (RCE) a nivel SYSTEM, extrayendo archivos del registro con hashes de contraseñas y exfiltrándolos sin conexión. Huntress rastreó la infraestructura de los atacantes hasta la IP 178.162.151[.]229 .
Cómo funcionó el ataque: Inyección SQL a través de una búsqueda de autocompletado
El vector de acceso inicial fue una vulnerabilidad de inyección SQL en una aplicación Java pública que se ejecutaba en Apache Tomcat . La función de búsqueda con autocompletado de la aplicación no validaba correctamente la entrada del usuario, lo que permitía a los atacantes inyectar comandos SQL a través de una conexión JDBC a la base de datos Oracle . Como señalaron los investigadores de Huntress, esta no era una clase de vulnerabilidad novedosa: los ataques de inyección SQL existen desde hace décadas y, por lo general, son el resultado de un mal manejo de las entradas del usuario que van al servidor SQL . El fallo de la aplicación al no sanitizar un simple campo de búsqueda fue suficiente para iniciar la cadena de compromiso.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "Ataque Khunt: Hackers convierten una base de datos Oracle en una plataforma de ataque invisible"?
En julio de 2026, Huntress detectó un ataque de inyección SQL donde los atacantes aprovecharon una aplicación web Java/Tomcat pública para inyectar el toolkit 'khunt' como objetos Java dentro de una base de datos Orac...
¿Cuáles son los puntos clave a validar primero?
En julio de 2026, Huntress detectó un ataque de inyección SQL donde los atacantes aprovecharon una aplicación web Java/Tomcat pública para inyectar el toolkit 'khunt' como objetos Java dentro de una base de datos Orac... El toolkit incluía componentes para ejecución de comandos (KhuntCmd), extracción de hashes (KhuntHash), exploración de archivos (KhuntFS/FS2) y más, logrando acceso a nivel SYSTEM en el servidor Windows subyacente.
¿Qué debo hacer a continuación en la práctica?
Huntress destacó puntos ciegos críticos: las herramientas EDR/AV no inspeccionan clases Java ni wrappers PL/SQL dentro de Oracle, y las cuentas de base de datos con privilegios excesivos facilitaron el ataque.
El kit Khunt: Viviendo dentro de la base de datos como objetos Java
En lugar de implementar archivos de malware tradicionales en el servidor comprometido, los atacantes utilizaron la Máquina Virtual Java (JVM) integrada de Oracle y la instrucción CREATE JAVA SOURCE para compilar y almacenar todo el kit de herramientas de post-explotación como objetos de esquema Java dentro de la base de datos Oracle . Este enfoque hizo que el kit fuera invisible para las defensas estándar a nivel del sistema operativo, ya que las herramientas EDR y antivirus se centran en procesos, binarios y archivos en el sistema operativo; por lo general, no inspeccionan las clases Java y los wrappers PL/SQL almacenados dentro de Oracle .
El kit khunt incluía estos componentes, cada uno almacenado como un objeto de base de datos:
Componente
Función
KhuntCmd
Carga cmd.exe y ejecuta comandos arbitrarios del sistema operativo incrustándolos en sentencias SQL enviadas a la base de datos
KhuntHash
Extrae nombres de usuario y hashes de contraseñas de las tablas internas de usuarios de Oracle y los guarda en un archivo
KhuntFS / KhuntFS2
Exploradores de archivos para listar, leer, buscar y verificar tamaños de archivos en el sistema comprometido
KhuntT
Una herramienta simple de "ping" para confirmar que el kit está instalado y accesible antes de continuar
KhuntUnzip
Utilidad para descomprimir archivos
Wrappers PL/SQL khunt_*
Procedimientos envolventes PL/SQL utilizados para llamar a los métodos Java subyacentes
Logrando el control total del sistema: De la base de datos al sistema operativo Windows
Los atacantes no se detuvieron en el acceso a nivel de base de datos. Utilizaron el kit khunt para pivotar desde la capa de la base de datos al sistema operativo Windows subyacente en un proceso de varios pasos:
Ejecución de comandos del SO a través de KhuntCmd: Usaron el módulo KhuntCmd para ejecutar cmd.exe /c whoami, lo que confirmó que se estaban ejecutando con privilegios de nivel SYSTEM en el servidor Windows, estableciendo una ejecución remota de código (RCE) desde la base de datos al sistema operativo .
Robo de credenciales: Usaron PowerShell para invocar reg.exe y copiar los archivos del registro SECURITY y SYSTEM, guardándolos como khuntSECURITY.hiv y khuntSYSTEM.hiv en F:\Oracle\.
Enumeración de servicios: Ejecutaron tasklist /svc y guardaron la salida como khunttasks.txt.
Extracción adicional de archivos del registro: Usaron esentutl.exe para copiar los archivos SAM y una segunda copia de SECURITY, guardándolos como khuntSAM.hiv y khunt_SECURITY.hiv.
Los archivos del registro exfiltrados podrían usarse sin conexión para extraer y decodificar los hashes de contraseñas de todas las cuentas locales del sistema .
Puntos ciegos en la defensa: Hallazgos clave de Huntress
La investigación de Huntress reveló varios puntos ciegos críticos que permitieron que este ataque tuviera éxito y evadiera la detección:
La base de datos como plataforma de ataque: La base de datos se transformó de un almacén de datos pasivo a una plataforma de ataque activa, con el kit malicioso viviendo dentro de la base de datos en lugar de en el disco o en la memoria .
Evasión de EDR/AV: Las herramientas tradicionales de detección y respuesta en endpoints (EDR) y antivirus no inspeccionan las clases Java y los wrappers PL/SQL almacenados dentro de Oracle, lo que hace que el kit sea invisible para las defensas estándar a nivel del sistema operativo .
Vulnerabilidad clásica, entrega novedosa: La inyección SQL inicial era una clase de error bien conocida. No se necesitó ningún día cero. La función de búsqueda con autocompletado fue suficiente para llegar a PL/SQL y luego al sistema operativo, lo que demuestra que los fallos básicos de validación de entrada pueden llevar a un compromiso profundo cuando el motor de la base de datos tiene capacidades a nivel de sistema operativo .
Cuentas de base de datos con privilegios excesivos: Incluso después de que una inyección SQL tiene éxito, el daño es limitado si la cuenta de usuario de la base de datos no tiene privilegios para crear fuentes Java o ejecutar procedimientos almacenados. Las organizaciones a menudo otorgan privilegios excesivos a las cuentas de la base de datos, dando a los atacantes los permisos adicionales necesarios para implementar khunt .
Mitigaciones recomendadas por Huntress
Basándose en este ataque, Huntress recomendó varias mitigaciones :
Sanitización adecuada de entradas y parametrización de consultas para todas las entradas web
Restringir los privilegios de los usuarios de la base de datos para que incluso las consultas inyectadas no puedan crear fuentes Java o ejecutar procedimientos almacenados arbitrarios
Ampliar el alcance de la monitorización para incluir objetos de la base de datos (clases Java, wrappers PL/SQL) en lugar de solo artefactos a nivel del sistema operativo
Este ataque sirve como un claro recordatorio de que los motores de base de datos con entornos de programación integrados (como la JVM de Oracle) pueden convertirse en plataformas de ataque sigilosas cuando se combinan con un solo campo de entrada no validado. Los equipos de seguridad deben extender su monitorización más allá del sistema operativo para incluir la capa de objetos de la base de datos.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
El kit Khunt: Viviendo dentro de la base de datos como objetos Java
En lugar de implementar archivos de malware tradicionales en el servidor comprometido, los atacantes utilizaron la Máquina Virtual Java (JVM) integrada de Oracle y la instrucción CREATE JAVA SOURCE para compilar y almacenar todo el kit de herramientas de post-explotación como objetos de esquema Java dentro de la base de datos Oracle . Este enfoque hizo que el kit fuera invisible para las defensas estándar a nivel del sistema operativo, ya que las herramientas EDR y antivirus se centran en procesos, binarios y archivos en el sistema operativo; por lo general, no inspeccionan las clases Java y los wrappers PL/SQL almacenados dentro de Oracle .
El kit khunt incluía estos componentes, cada uno almacenado como un objeto de base de datos:
Componente
Función
KhuntCmd
Carga cmd.exe y ejecuta comandos arbitrarios del sistema operativo incrustándolos en sentencias SQL enviadas a la base de datos
KhuntHash
Extrae nombres de usuario y hashes de contraseñas de las tablas internas de usuarios de Oracle y los guarda en un archivo
KhuntFS / KhuntFS2
Exploradores de archivos para listar, leer, buscar y verificar tamaños de archivos en el sistema comprometido
KhuntT
Una herramienta simple de "ping" para confirmar que el kit está instalado y accesible antes de continuar
KhuntUnzip
Utilidad para descomprimir archivos
Wrappers PL/SQL khunt_*
Procedimientos envolventes PL/SQL utilizados para llamar a los métodos Java subyacentes
Logrando el control total del sistema: De la base de datos al sistema operativo Windows
Los atacantes no se detuvieron en el acceso a nivel de base de datos. Utilizaron el kit khunt para pivotar desde la capa de la base de datos al sistema operativo Windows subyacente en un proceso de varios pasos:
Ejecución de comandos del SO a través de KhuntCmd: Usaron el módulo KhuntCmd para ejecutar cmd.exe /c whoami, lo que confirmó que se estaban ejecutando con privilegios de nivel SYSTEM en el servidor Windows, estableciendo una ejecución remota de código (RCE) desde la base de datos al sistema operativo .
Robo de credenciales: Usaron PowerShell para invocar reg.exe y copiar los archivos del registro SECURITY y SYSTEM, guardándolos como khuntSECURITY.hiv y khuntSYSTEM.hiv en F:\Oracle\.
Enumeración de servicios: Ejecutaron tasklist /svc y guardaron la salida como khunttasks.txt.
Extracción adicional de archivos del registro: Usaron esentutl.exe para copiar los archivos SAM y una segunda copia de SECURITY, guardándolos como khuntSAM.hiv y khunt_SECURITY.hiv.
Los archivos del registro exfiltrados podrían usarse sin conexión para extraer y decodificar los hashes de contraseñas de todas las cuentas locales del sistema .
Puntos ciegos en la defensa: Hallazgos clave de Huntress
La investigación de Huntress reveló varios puntos ciegos críticos que permitieron que este ataque tuviera éxito y evadiera la detección:
La base de datos como plataforma de ataque: La base de datos se transformó de un almacén de datos pasivo a una plataforma de ataque activa, con el kit malicioso viviendo dentro de la base de datos en lugar de en el disco o en la memoria .
Evasión de EDR/AV: Las herramientas tradicionales de detección y respuesta en endpoints (EDR) y antivirus no inspeccionan las clases Java y los wrappers PL/SQL almacenados dentro de Oracle, lo que hace que el kit sea invisible para las defensas estándar a nivel del sistema operativo .
Vulnerabilidad clásica, entrega novedosa: La inyección SQL inicial era una clase de error bien conocida. No se necesitó ningún día cero. La función de búsqueda con autocompletado fue suficiente para llegar a PL/SQL y luego al sistema operativo, lo que demuestra que los fallos básicos de validación de entrada pueden llevar a un compromiso profundo cuando el motor de la base de datos tiene capacidades a nivel de sistema operativo .
Cuentas de base de datos con privilegios excesivos: Incluso después de que una inyección SQL tiene éxito, el daño es limitado si la cuenta de usuario de la base de datos no tiene privilegios para crear fuentes Java o ejecutar procedimientos almacenados. Las organizaciones a menudo otorgan privilegios excesivos a las cuentas de la base de datos, dando a los atacantes los permisos adicionales necesarios para implementar khunt .
Mitigaciones recomendadas por Huntress
Basándose en este ataque, Huntress recomendó varias mitigaciones :
Sanitización adecuada de entradas y parametrización de consultas para todas las entradas web
Restringir los privilegios de los usuarios de la base de datos para que incluso las consultas inyectadas no puedan crear fuentes Java o ejecutar procedimientos almacenados arbitrarios
Ampliar el alcance de la monitorización para incluir objetos de la base de datos (clases Java, wrappers PL/SQL) en lugar de solo artefactos a nivel del sistema operativo
Este ataque sirve como un claro recordatorio de que los motores de base de datos con entornos de programación integrados (como la JVM de Oracle) pueden convertirse en plataformas de ataque sigilosas cuando se combinan con un solo campo de entrada no validado. Los equipos de seguridad deben extender su monitorización más allá del sistema operativo para incluir la capa de objetos de la base de datos.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
