Näin hakkerit kätkivät kokonaisen työkalupakin Oraclen tietokantaan – Khunt-hyökkäys paljastaa karun aukon turvavalvonnassa
Huntress havaitsi heinäkuussa 2026 SQL injektiohyökkäyksen, jossa hyökkääjät käyttivät julkisen Java/Tomcat sovelluksen hakutoimintoa päästäkseen Oraclen tietokantaan. Hyökkääjät eivät asentaneet perinteisiä haittaohjelmatiedostoja, vaan koko khunt niminen työkalupaketti paketoitiin Java skeemaobjekteiksi Oraclen ti...
JulkaisijaMuokattu mallilla DeepSeek-V4-FlashKuvat luotu mallilla GPT Image 1.5
Huntress havaitsi heinäkuussa 2026 SQL injektiohyökkäyksen, jossa hyökkääjät käyttivät julkisen Java/Tomcat sovelluksen hakutoimintoa päästäkseen Oraclen tietokantaan.
Hyökkääjät eivät asentaneet perinteisiä haittaohjelmatiedostoja, vaan koko khunt niminen työkalupaketti paketoitiin Java skeemaobjekteiksi Oraclen tietokannan sisään, jolloin EDR ja virustorjunta eivät havainneet sitä.
Khunt työkalupaketti mahdollisti komentojen suorittamisen, tiedostojen selaamisen, salasanojen varastamisen ja lopulta järjestelmän täyden hallinnan – tietokannasta Windows käyttöjärjestelmään.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Huntress-tietoturvayhtiön tutkijat paljastivat elokuussa 2026 monimutkaisen hyökkäysketjun, joka sai alkunsa vanhasta, mutta yhä vaarallisesta haavoittuvuudesta: SQL-injektiosta. Tapaus paljastaa kylmäävän aukon yritysten turvavalvonnassa. Hyökkääjät eivät jättäneet lainkaan tiedostoja palvelimen levylle, vaan kätkivät koko työkalupakkinsa Oraclen tietokannan Java-objekteiksi – sinne, minne perinteiset turvajärjestelmät eivät ylety.
Hyökkäys alkoi hakukentästä
Huntress havaitsi epäilyttävää toimintaa 27. heinäkuuta 2026 palvelimella, joka isännöi Oracle-tietokantaa . Jäljitys paljasti, että hyökkääjät olivat tunkeutuneet järjestelmään SQL-injektion kautta. Haavoittuvuus löytyi julkisesta Java-sovelluksesta, joka toimi Apache Tomcat -palvelimella. Sovelluksen automaattinen täydennys -hakutoiminto ei tarkistanut käyttäjän syötettä kunnolla, ja hyökkääjät pystyivät ruiskuttamaan SQL-komentoja JDBC-yhteyden kautta Oracle-tietokantaan . Kyseessä ei ollut huippuluokan nollapäivähaavoittuvuus, vaan vuosikymmeniä tunnettu virhe: käyttäjän syötteiden käsittely oli puutteellista . Hyökkääjien infrastruktuurin IP-osoitteeksi paljastui 178.162.151[.]229 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Näin hakkerit kätkivät kokonaisen työkalupakin Oraclen tietokantaan – Khunt-hyökkäys paljastaa karun aukon turvavalvonnassa"?
Huntress havaitsi heinäkuussa 2026 SQL injektiohyökkäyksen, jossa hyökkääjät käyttivät julkisen Java/Tomcat sovelluksen hakutoimintoa päästäkseen Oraclen tietokantaan.
What are the key points to validate first?
Huntress havaitsi heinäkuussa 2026 SQL injektiohyökkäyksen, jossa hyökkääjät käyttivät julkisen Java/Tomcat sovelluksen hakutoimintoa päästäkseen Oraclen tietokantaan. Hyökkääjät eivät asentaneet perinteisiä haittaohjelmatiedostoja, vaan koko khunt niminen työkalupaketti paketoitiin Java skeemaobjekteiksi Oraclen tietokannan sisään, jolloin EDR ja virustorjunta eivät havainneet sitä.
What should I do next in practice?
Khunt työkalupaketti mahdollisti komentojen suorittamisen, tiedostojen selaamisen, salasanojen varastamisen ja lopulta järjestelmän täyden hallinnan – tietokannasta Windows käyttöjärjestelmään.
Näin hakkerit kätkivät kokonaisen työkalupakin Oraclen tietokantaan – Khunt-hyökkäys paljastaa karun aukon turvavalvonnassa
Huntress havaitsi heinäkuussa 2026 SQL injektiohyökkäyksen, jossa hyökkääjät käyttivät julkisen Java/Tomcat sovelluksen hakutoimintoa päästäkseen Oraclen tietokantaan. Hyökkääjät eivät asentaneet perinteisiä haittaohjelmatiedostoja, vaan koko khunt niminen työkalupaketti paketoitiin Java skeemaobjekteiksi Oraclen ti...
JulkaisijaMuokattu mallilla DeepSeek-V4-FlashKuvat luotu mallilla GPT Image 1.5
Huntress havaitsi heinäkuussa 2026 SQL injektiohyökkäyksen, jossa hyökkääjät käyttivät julkisen Java/Tomcat sovelluksen hakutoimintoa päästäkseen Oraclen tietokantaan.
Hyökkääjät eivät asentaneet perinteisiä haittaohjelmatiedostoja, vaan koko khunt niminen työkalupaketti paketoitiin Java skeemaobjekteiksi Oraclen tietokannan sisään, jolloin EDR ja virustorjunta eivät havainneet sitä.
Khunt työkalupaketti mahdollisti komentojen suorittamisen, tiedostojen selaamisen, salasanojen varastamisen ja lopulta järjestelmän täyden hallinnan – tietokannasta Windows käyttöjärjestelmään.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Huntress-tietoturvayhtiön tutkijat paljastivat elokuussa 2026 monimutkaisen hyökkäysketjun, joka sai alkunsa vanhasta, mutta yhä vaarallisesta haavoittuvuudesta: SQL-injektiosta. Tapaus paljastaa kylmäävän aukon yritysten turvavalvonnassa. Hyökkääjät eivät jättäneet lainkaan tiedostoja palvelimen levylle, vaan kätkivät koko työkalupakkinsa Oraclen tietokannan Java-objekteiksi – sinne, minne perinteiset turvajärjestelmät eivät ylety.
Hyökkäys alkoi hakukentästä
Huntress havaitsi epäilyttävää toimintaa 27. heinäkuuta 2026 palvelimella, joka isännöi Oracle-tietokantaa . Jäljitys paljasti, että hyökkääjät olivat tunkeutuneet järjestelmään SQL-injektion kautta. Haavoittuvuus löytyi julkisesta Java-sovelluksesta, joka toimi Apache Tomcat -palvelimella. Sovelluksen automaattinen täydennys -hakutoiminto ei tarkistanut käyttäjän syötettä kunnolla, ja hyökkääjät pystyivät ruiskuttamaan SQL-komentoja JDBC-yhteyden kautta Oracle-tietokantaan . Kyseessä ei ollut huippuluokan nollapäivähaavoittuvuus, vaan vuosikymmeniä tunnettu virhe: käyttäjän syötteiden käsittely oli puutteellista . Hyökkääjien infrastruktuurin IP-osoitteeksi paljastui 178.162.151[.]229 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Näin hakkerit kätkivät kokonaisen työkalupakin Oraclen tietokantaan – Khunt-hyökkäys paljastaa karun aukon turvavalvonnassa"?
Huntress havaitsi heinäkuussa 2026 SQL injektiohyökkäyksen, jossa hyökkääjät käyttivät julkisen Java/Tomcat sovelluksen hakutoimintoa päästäkseen Oraclen tietokantaan.
What are the key points to validate first?
Huntress havaitsi heinäkuussa 2026 SQL injektiohyökkäyksen, jossa hyökkääjät käyttivät julkisen Java/Tomcat sovelluksen hakutoimintoa päästäkseen Oraclen tietokantaan. Hyökkääjät eivät asentaneet perinteisiä haittaohjelmatiedostoja, vaan koko khunt niminen työkalupaketti paketoitiin Java skeemaobjekteiksi Oraclen tietokannan sisään, jolloin EDR ja virustorjunta eivät havainneet sitä.
What should I do next in practice?
Khunt työkalupaketti mahdollisti komentojen suorittamisen, tiedostojen selaamisen, salasanojen varastamisen ja lopulta järjestelmän täyden hallinnan – tietokannasta Windows käyttöjärjestelmään.
Khunt-työkalupaketti piilotettiin tietokannan sisälle
Perinteistä haittaohjelmaa ei nähty lainkaan. Hyökkääjät käyttivät Oraclen sisäänrakennettua Java-virtuaalikonetta (JVM) ja CREATE JAVA SOURCE -komennon avulla he käänsivät ja tallensivat koko khunt-nimisen jälkikäyttöhyökkäyspaketin Java-skeemaobjekteina suoraan Oracle-tietokantaan . Tämä teki työkalupakista näkymättömän käyttöjärjestelmätason suojauksille. EDR- ja virustorjuntajärjestelmät tarkkailevat prosesseja, binäärejä ja tiedostoja – eivät Oraclen sisällä olevia Java-luokkia ja PL/SQL-kääreitä .
Khunt-työkalupaketti sisälsi seuraavat komponentit, joista jokainen tallennettiin tietokantaobjektina:
Komponentti
Toiminto
KhuntCmd
Suorittaa cmd.exe-komentoja upottamalla ne SQL-lauseisiin
KhuntHash
Poimii käyttäjätunnuksia ja salasanojen tiivisteitä Oraclen sisäisistä tauluista ja tallentaa ne tiedostoon
KhuntFS / KhuntFS2
Tiedostojen selaus, lukeminen, haku ja koon tarkistus
KhuntT
Yksinkertainen ping-työkalu, jolla varmistetaan työkalun toiminta
KhuntUnzip
Tiedostojen purku zip-paketista
khunt_ PL/SQL-kääreet*
PL/SQL-kääreproseduurit Java-metodien kutsumiseen
Tietokannasta Windows-järjestelmän valtaamiseen
Hyökkääjät eivät tyytyneet tietokantatason pääsyyn – he käyttivät khunt-työkalua siirtyäkseen tietokantakerrokselta Windows-käyttöjärjestelmään monivaiheisessa prosessissa:
Komentojen suoritus KhuntCmd-moduulilla: Hyökkääjät suorittivat cmd.exe /c whoami -komennon, joka vahvisti, että heillä oli SYSTEM-tason käyttöoikeudet Windows-palvelimella. Tämä tarkoitti etäkoodin suorittamista (RCE) tietokannasta käyttöjärjestelmään .
Tunnistetietojen varastaminen: He käyttivät PowerShellia ja reg.exe-komentoa kopioidakseen SECURITY- ja SYSTEM-rekisteripesät, tallentaen ne tiedostoiksi khuntSECURITY.hiv ja khuntSYSTEM.hiv hakemistoon F:\Oracle\.
Palveluiden kartoitus: He suorittivat tasklist /svc -komennon ja tallensivat tulokset tiedostoon khunttasks.txt.
Lisää rekisteripesiä: He käyttivät esentutl.exe-työkalua SAM- ja toisen SECURITY-pesän kopioimiseen, tallentaen ne nimillä khuntSAM.hiv ja khunt_SECURITY.hiv.
Nämä varastetut rekisteripesät mahdollistivat kaikkien paikallisten tilien salasanojen tiivisteiden purkamisen ja murtamisen offline-tilassa .
Huntressin keskeiset havainnot: Turvavalmistuksen sokeat pisteet
Huntressin tutkijat nostivat esiin useita kriittisiä puutteita yritysten turvavalvonnassa :
Tietokannasta hyökkäysalustaksi: Tietokanta muuttui passiivisesta tietovarastosta aktiiviseksi hyökkäysalustaksi, ja haitallinen työkalu eli tietokannan sisällä eikä levyltä tai muistista löytyvissä prosesseissa .
EDR/AV-kierto: Perinteiset EDR- ja virustorjuntaohjelmat eivät yleensä tarkasta Oraclen Java-luokkia ja PL/SQL-kääreitä, joten työkalupaketti jäi täysin huomaamatta .
Klassinen haavoittuvuus, uusi toimitustapa: SQL-injektio on tunnettu haavoittuvuusluokka, eikä hyökkääjät tarvinneet nollapäivähaavoittuvuuksia. Hakutoiminto riitti pääsemään PL/SQL-tasolle ja sieltä käyttöjärjestelmään – tämä osoittaa, että yksinkertaiset syötteen tarkistuksen puutteet voivat johtaa syvälliseen kompromissiin, kun tietokantamoottorilla on käyttöjärjestelmätason ominaisuuksia .
Liian laajat tietokantatilien oikeudet: Vaikka SQL-injektio onnistuisi, vahinko rajoittuisi, jos tietokantatilillä ei olisi oikeuksia luoda Java-lähteitä tai suorittaa tallennettuja proseduureja. Organisaatiot usein myöntävät liian laajat oikeudet, mikä antaa hyökkääjille lisäluvan khunt-työkalun käyttöönottoon .
Suositukset suojautumiseen
Huntress suosittelee seuraavia toimenpiteitä :
Kaikkien verkkosyötteiden kunnollinen puhdistus ja parametrisointi – eli SQL-injektion perussuoja
Tietokantakäyttäjien oikeuksien rajoittaminen niin, ettei injektoitujen kyselyiden avulla voida luoda Java-lähteitä tai suorittaa mielivaltaisia tallennettuja proseduureja
Valvonnan laajentaminen tietokantaobjekteihin (Java-luokat, PL/SQL-kääreet) pelkän käyttöjärjestelmätason seurannan sijaan
Tämä hyökkäys toimii karuna muistutuksena siitä, että tietokantamoottorit, joissa on sisäänrakennettuja ohjelmointiympäristöjä (kuten Oraclen JVM), voivat muuttua salakavalan hyökkäysalustoiksi, kun jo yksi tarkastamaton syötekenttä löytyy. Tietoturvatiimien on laajennettava valvontaansa käyttöjärjestelmän ulkopuolelle tietokannan objektikerrokseen asti.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
Khunt-työkalupaketti piilotettiin tietokannan sisälle
Perinteistä haittaohjelmaa ei nähty lainkaan. Hyökkääjät käyttivät Oraclen sisäänrakennettua Java-virtuaalikonetta (JVM) ja CREATE JAVA SOURCE -komennon avulla he käänsivät ja tallensivat koko khunt-nimisen jälkikäyttöhyökkäyspaketin Java-skeemaobjekteina suoraan Oracle-tietokantaan . Tämä teki työkalupakista näkymättömän käyttöjärjestelmätason suojauksille. EDR- ja virustorjuntajärjestelmät tarkkailevat prosesseja, binäärejä ja tiedostoja – eivät Oraclen sisällä olevia Java-luokkia ja PL/SQL-kääreitä .
Khunt-työkalupaketti sisälsi seuraavat komponentit, joista jokainen tallennettiin tietokantaobjektina:
Komponentti
Toiminto
KhuntCmd
Suorittaa cmd.exe-komentoja upottamalla ne SQL-lauseisiin
KhuntHash
Poimii käyttäjätunnuksia ja salasanojen tiivisteitä Oraclen sisäisistä tauluista ja tallentaa ne tiedostoon
KhuntFS / KhuntFS2
Tiedostojen selaus, lukeminen, haku ja koon tarkistus
KhuntT
Yksinkertainen ping-työkalu, jolla varmistetaan työkalun toiminta
KhuntUnzip
Tiedostojen purku zip-paketista
khunt_ PL/SQL-kääreet*
PL/SQL-kääreproseduurit Java-metodien kutsumiseen
Tietokannasta Windows-järjestelmän valtaamiseen
Hyökkääjät eivät tyytyneet tietokantatason pääsyyn – he käyttivät khunt-työkalua siirtyäkseen tietokantakerrokselta Windows-käyttöjärjestelmään monivaiheisessa prosessissa:
Komentojen suoritus KhuntCmd-moduulilla: Hyökkääjät suorittivat cmd.exe /c whoami -komennon, joka vahvisti, että heillä oli SYSTEM-tason käyttöoikeudet Windows-palvelimella. Tämä tarkoitti etäkoodin suorittamista (RCE) tietokannasta käyttöjärjestelmään .
Tunnistetietojen varastaminen: He käyttivät PowerShellia ja reg.exe-komentoa kopioidakseen SECURITY- ja SYSTEM-rekisteripesät, tallentaen ne tiedostoiksi khuntSECURITY.hiv ja khuntSYSTEM.hiv hakemistoon F:\Oracle\.
Palveluiden kartoitus: He suorittivat tasklist /svc -komennon ja tallensivat tulokset tiedostoon khunttasks.txt.
Lisää rekisteripesiä: He käyttivät esentutl.exe-työkalua SAM- ja toisen SECURITY-pesän kopioimiseen, tallentaen ne nimillä khuntSAM.hiv ja khunt_SECURITY.hiv.
Nämä varastetut rekisteripesät mahdollistivat kaikkien paikallisten tilien salasanojen tiivisteiden purkamisen ja murtamisen offline-tilassa .
Huntressin keskeiset havainnot: Turvavalmistuksen sokeat pisteet
Huntressin tutkijat nostivat esiin useita kriittisiä puutteita yritysten turvavalvonnassa :
Tietokannasta hyökkäysalustaksi: Tietokanta muuttui passiivisesta tietovarastosta aktiiviseksi hyökkäysalustaksi, ja haitallinen työkalu eli tietokannan sisällä eikä levyltä tai muistista löytyvissä prosesseissa .
EDR/AV-kierto: Perinteiset EDR- ja virustorjuntaohjelmat eivät yleensä tarkasta Oraclen Java-luokkia ja PL/SQL-kääreitä, joten työkalupaketti jäi täysin huomaamatta .
Klassinen haavoittuvuus, uusi toimitustapa: SQL-injektio on tunnettu haavoittuvuusluokka, eikä hyökkääjät tarvinneet nollapäivähaavoittuvuuksia. Hakutoiminto riitti pääsemään PL/SQL-tasolle ja sieltä käyttöjärjestelmään – tämä osoittaa, että yksinkertaiset syötteen tarkistuksen puutteet voivat johtaa syvälliseen kompromissiin, kun tietokantamoottorilla on käyttöjärjestelmätason ominaisuuksia .
Liian laajat tietokantatilien oikeudet: Vaikka SQL-injektio onnistuisi, vahinko rajoittuisi, jos tietokantatilillä ei olisi oikeuksia luoda Java-lähteitä tai suorittaa tallennettuja proseduureja. Organisaatiot usein myöntävät liian laajat oikeudet, mikä antaa hyökkääjille lisäluvan khunt-työkalun käyttöönottoon .
Suositukset suojautumiseen
Huntress suosittelee seuraavia toimenpiteitä :
Kaikkien verkkosyötteiden kunnollinen puhdistus ja parametrisointi – eli SQL-injektion perussuoja
Tietokantakäyttäjien oikeuksien rajoittaminen niin, ettei injektoitujen kyselyiden avulla voida luoda Java-lähteitä tai suorittaa mielivaltaisia tallennettuja proseduureja
Valvonnan laajentaminen tietokantaobjekteihin (Java-luokat, PL/SQL-kääreet) pelkän käyttöjärjestelmätason seurannan sijaan
Tämä hyökkäys toimii karuna muistutuksena siitä, että tietokantamoottorit, joissa on sisäänrakennettuja ohjelmointiympäristöjä (kuten Oraclen JVM), voivat muuttua salakavalan hyökkäysalustoiksi, kun jo yksi tarkastamaton syötekenttä löytyy. Tietoturvatiimien on laajennettava valvontaansa käyttöjärjestelmän ulkopuolelle tietokannan objektikerrokseen asti.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
