Attaque Khunt : comment des pirates ont transformé une base Oracle en plateforme de post-exploitation
En juillet 2026, Huntress a découvert une attaque par injection SQL où des pirates ont exploité une application web Java/Tomcat publique pour injecter l'intégralité du toolkit de post exploitation 'Khunt' sous forme d... La boîte à outils comprenait des composants d'exécution de commandes (KhuntCmd), d'extraction de...
Publié parModifié avec DeepSeek-V4-FlashImages générées avec GPT Image 1.5
En juillet 2026, Huntress a découvert une attaque par injection SQL où des pirates ont exploité une application web Java/Tomcat publique pour injecter l'intégralité du toolkit de post exploitation 'Khunt' sous forme d...
La boîte à outils comprenait des composants d'exécution de commandes (KhuntCmd), d'extraction de hachages (KhuntHash), d'exploration de fichiers (KhuntFS/FS2), etc., permettant aux attaquants d'obtenir un accès de niv...
Huntress a souligné des angles morts critiques : les outils EDR/AV n'inspectent pas les classes Java et wrappers PL/SQL d'Oracle, et les comptes de base de données sur provisionnés ont facilité l'attaque.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
Prompt IA
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Le 27 juillet 2026, l'équipe de Huntress a été alertée d'une activité de vol d'identifiants sur un serveur hébergeant une base de données Oracle. L'enquête a révélé une attaque sophistiquée par injection SQL — n'exploitant pas une faille zero-day, mais une classe de vulnérabilité bien connue dans une application web Java/Tomcat exposée sur Internet. La particularité de cette attaque réside dans la technique utilisée par les pirates : au lieu de déposer des fichiers sur le disque, ils ont utilisé la machine virtuelle Java intégrée d'Oracle pour compiler et stocker un toolkit complet de post-exploitation, baptisé « khunt », sous forme d'objets Java à l'intérieur même de la base de données. Cette approche a permis au toolkit de contourner les outils traditionnels de détection et de réponse sur les endpoints (EDR) et les antivirus, qui n'inspectent pas les objets de la base de données. À partir de là, les attaquants ont pivoté vers le système d'exploitation Windows sous-jacent, obtenant une exécution de code à distance (RCE) complète au niveau SYSTEM, extrayant les ruches de registre contenant les mots de passe hachés, et les exfiltrant hors ligne. Huntres a retracé l'infrastructure des attaquants jusqu'à l'adresse IP 178.162.151[.]229 .
Comment l'attaque a fonctionné : injection SQL via une recherche automatique
Le vecteur d'accès initial était une vulnérabilité d'injection SQL dans une application Java publique tournant sur Apache Tomcat . La fonction de recherche automatique (autocomplete) de l'application ne parvenait pas à valider correctement les entrées utilisateur, permettant aux attaquants d'injecter des commandes SQL via une connexion JDBC vers la base de données Oracle . Comme l'ont noté les chercheurs de Huntress, il ne s'agissait pas d'une classe de vulnérabilité inédite — les attaques par injection SQL existent depuis des décennies et sont généralement le résultat d'une mauvaise gestion des entrées utilisateur envoyées au serveur SQL . L'incapacité de l'application à assainir un simple champ de recherche a suffi à déclencher la chaîne de compromission.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Quelle est la réponse courte à « Attaque Khunt : comment des pirates ont transformé une base Oracle en plateforme de post-exploitation » ?
En juillet 2026, Huntress a découvert une attaque par injection SQL où des pirates ont exploité une application web Java/Tomcat publique pour injecter l'intégralité du toolkit de post exploitation 'Khunt' sous forme d...
Quels sont les points clés à valider en premier ?
En juillet 2026, Huntress a découvert une attaque par injection SQL où des pirates ont exploité une application web Java/Tomcat publique pour injecter l'intégralité du toolkit de post exploitation 'Khunt' sous forme d... La boîte à outils comprenait des composants d'exécution de commandes (KhuntCmd), d'extraction de hachages (KhuntHash), d'exploration de fichiers (KhuntFS/FS2), etc., permettant aux attaquants d'obtenir un accès de niv...
Que dois-je faire ensuite en pratique ?
Huntress a souligné des angles morts critiques : les outils EDR/AV n'inspectent pas les classes Java et wrappers PL/SQL d'Oracle, et les comptes de base de données sur provisionnés ont facilité l'attaque.
Attaque Khunt : comment des pirates ont transformé une base Oracle en plateforme de post-exploitation
En juillet 2026, Huntress a découvert une attaque par injection SQL où des pirates ont exploité une application web Java/Tomcat publique pour injecter l'intégralité du toolkit de post exploitation 'Khunt' sous forme d... La boîte à outils comprenait des composants d'exécution de commandes (KhuntCmd), d'extraction de...
Publié parModifié avec DeepSeek-V4-FlashImages générées avec GPT Image 1.5
En juillet 2026, Huntress a découvert une attaque par injection SQL où des pirates ont exploité une application web Java/Tomcat publique pour injecter l'intégralité du toolkit de post exploitation 'Khunt' sous forme d...
La boîte à outils comprenait des composants d'exécution de commandes (KhuntCmd), d'extraction de hachages (KhuntHash), d'exploration de fichiers (KhuntFS/FS2), etc., permettant aux attaquants d'obtenir un accès de niv...
Huntress a souligné des angles morts critiques : les outils EDR/AV n'inspectent pas les classes Java et wrappers PL/SQL d'Oracle, et les comptes de base de données sur provisionnés ont facilité l'attaque.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
Prompt IA
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Le 27 juillet 2026, l'équipe de Huntress a été alertée d'une activité de vol d'identifiants sur un serveur hébergeant une base de données Oracle. L'enquête a révélé une attaque sophistiquée par injection SQL — n'exploitant pas une faille zero-day, mais une classe de vulnérabilité bien connue dans une application web Java/Tomcat exposée sur Internet. La particularité de cette attaque réside dans la technique utilisée par les pirates : au lieu de déposer des fichiers sur le disque, ils ont utilisé la machine virtuelle Java intégrée d'Oracle pour compiler et stocker un toolkit complet de post-exploitation, baptisé « khunt », sous forme d'objets Java à l'intérieur même de la base de données. Cette approche a permis au toolkit de contourner les outils traditionnels de détection et de réponse sur les endpoints (EDR) et les antivirus, qui n'inspectent pas les objets de la base de données. À partir de là, les attaquants ont pivoté vers le système d'exploitation Windows sous-jacent, obtenant une exécution de code à distance (RCE) complète au niveau SYSTEM, extrayant les ruches de registre contenant les mots de passe hachés, et les exfiltrant hors ligne. Huntres a retracé l'infrastructure des attaquants jusqu'à l'adresse IP 178.162.151[.]229 .
Comment l'attaque a fonctionné : injection SQL via une recherche automatique
Le vecteur d'accès initial était une vulnérabilité d'injection SQL dans une application Java publique tournant sur Apache Tomcat . La fonction de recherche automatique (autocomplete) de l'application ne parvenait pas à valider correctement les entrées utilisateur, permettant aux attaquants d'injecter des commandes SQL via une connexion JDBC vers la base de données Oracle . Comme l'ont noté les chercheurs de Huntress, il ne s'agissait pas d'une classe de vulnérabilité inédite — les attaques par injection SQL existent depuis des décennies et sont généralement le résultat d'une mauvaise gestion des entrées utilisateur envoyées au serveur SQL . L'incapacité de l'application à assainir un simple champ de recherche a suffi à déclencher la chaîne de compromission.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Quelle est la réponse courte à « Attaque Khunt : comment des pirates ont transformé une base Oracle en plateforme de post-exploitation » ?
En juillet 2026, Huntress a découvert une attaque par injection SQL où des pirates ont exploité une application web Java/Tomcat publique pour injecter l'intégralité du toolkit de post exploitation 'Khunt' sous forme d...
Quels sont les points clés à valider en premier ?
En juillet 2026, Huntress a découvert une attaque par injection SQL où des pirates ont exploité une application web Java/Tomcat publique pour injecter l'intégralité du toolkit de post exploitation 'Khunt' sous forme d... La boîte à outils comprenait des composants d'exécution de commandes (KhuntCmd), d'extraction de hachages (KhuntHash), d'exploration de fichiers (KhuntFS/FS2), etc., permettant aux attaquants d'obtenir un accès de niv...
Que dois-je faire ensuite en pratique ?
Huntress a souligné des angles morts critiques : les outils EDR/AV n'inspectent pas les classes Java et wrappers PL/SQL d'Oracle, et les comptes de base de données sur provisionnés ont facilité l'attaque.
Le toolkit Khunt : vivre dans la base de données sous forme d'objets Java
Plutôt que de déployer des fichiers malveillants traditionnels sur le serveur compromis, les attaquants ont utilisé la machine virtuelle Java (JVM) intégrée d'Oracle et l'instruction CREATE JAVA SOURCE pour compiler et stocker l'intégralité du toolkit de post-exploitation sous forme d'objets Java dans la base de données Oracle . Cette approche a rendu le toolkit invisible pour les défenses standard au niveau du système d'exploitation, car les outils EDR et antivirus se concentrent sur les processus, les binaires et les fichiers du système d'exploitation — ils n'inspectent généralement pas les classes Java et les wrappers PL/SQL stockés dans Oracle .
Le toolkit khunt comprenait les composants suivants, chacun stocké en tant qu'objet de base de données :
Composant
Fonction
KhuntCmd
Charge cmd.exe et exécute des commandes système arbitraires en les intégrant dans des instructions SQL envoyées à la base de données
KhuntHash
Extrait les noms d'utilisateur et les hachages de mots de passe des tables internes d'Oracle et les sauvegarde dans un fichier
KhuntFS / KhuntFS2
Explorateurs de fichiers pour lister, lire, rechercher et vérifier les tailles de fichiers sur le système compromis
KhuntT
Un simple outil « ping » pour confirmer que le toolkit est installé et accessible avant de procéder
KhuntUnzip
Utilitaire de décompression de fichiers
Wrappers khunt_ PL/SQL*
Procédures wrapper PL/SQL utilisées pour appeler les méthodes Java sous-jacentes
Obtenir le contrôle total du système : de la base de données au système d'exploitation Windows
Les attaquants ne se sont pas arrêtés à un accès au niveau de la base de données. Ils ont utilisé le toolkit khunt pour passer de la couche base de données au système d'exploitation Windows sous-jacent en plusieurs étapes :
Exécution de commandes système via KhuntCmd : Ils ont utilisé le module KhuntCmd pour exécuter cmd.exe /c whoami, ce qui a confirmé qu'ils disposaient de privilèges SYSTEM sur le serveur Windows, établissant une exécution de code à distance (RCE) de la base de données vers le système d'exploitation .
Vol d'identifiants : Ils ont utilisé PowerShell pour invoquer reg.exe et copier les ruches de registre SECURITY et SYSTEM, les sauvegardant sous les noms khuntSECURITY.hiv et khuntSYSTEM.hiv dans F:\Oracle\.
Énumération des services : Ils ont exécuté tasklist /svc et sauvegardé la sortie sous khunttasks.txt.
Extraction supplémentaire de ruches : Ils ont utilisé esentutl.exe pour copier les ruches SAM et une seconde copie des ruches SECURITY, les sauvegardant sous les noms khuntSAM.hiv et khunt_SECURITY.hiv.
Les ruches de registre exfiltrées pouvaient être utilisées hors ligne pour extraire et décoder les hachages de mots de passe de tous les comptes locaux du système .
Angles morts de la défense : les conclusions clés de Huntress
L'enquête de Huntress a révélé plusieurs angles morts critiques qui ont permis à cette attaque de réussir et d'éviter la détection :
Transformation de la base de données en plateforme d'attaque : La base de données a été transformée d'un simple magasin de données passif en une plateforme d'attaque active, le toolkit malveillant résidant à l'intérieur de la base de données plutôt que sur le disque ou en mémoire .
Contournement des EDR/AV : Les outils EDR et antivirus traditionnels n'inspectent généralement pas les classes Java et les wrappers PL/SQL stockés dans Oracle, rendant le toolkit invisible pour les défenses standard au niveau du système d'exploitation .
Vulnérabilité classique, livraison innovante : L'injection SQL initiale était une classe de bug bien connue. Aucune faille zero-day n'était nécessaire. La fonction de recherche automatique a suffi pour atteindre PL/SQL puis le système d'exploitation, montrant que des échecs de validation d'entrée basiques peuvent conduire à une compromission profonde lorsque le moteur de base de données dispose de capacités au niveau du système d'exploitation .
Comptes de base de données sur-provisionnés : Même après la réussite d'une injection SQL, les dégâts sont limités si le compte utilisateur de la base de données ne dispose pas des privilèges nécessaires pour créer des sources Java ou exécuter des procédures stockées. Les organisations sur-provisionnent souvent les comptes de base de données, donnant aux attaquants les permissions supplémentaires nécessaires pour déployer khunt .
Mesures d'atténuation recommandées par Huntress
Sur la base de cette attaque, Huntress a recommandé plusieurs mesures d'atténuation :
Un assainissement approprié des entrées et une paramétrisation des requêtes pour toutes les entrées web
La restriction des privilèges des utilisateurs de la base de données afin que même les requêtes injectées ne puissent pas créer de sources Java ou exécuter des procédures stockées arbitraires
L'extension du périmètre de surveillance pour inclure les objets de la base de données (classes Java, wrappers PL/SQL) plutôt que seulement les artefacts au niveau du système d'exploitation
Cette attaque rappelle avec force que les moteurs de base de données dotés d'environnements de programmation intégrés (comme la JVM d'Oracle) peuvent devenir des plateformes d'attaque furtives lorsqu'ils sont combinés à un seul champ d'entrée non validé. Les équipes de sécurité doivent étendre leur surveillance au-delà du système d'exploitation pour inclure la couche des objets de la base de données.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
Le toolkit Khunt : vivre dans la base de données sous forme d'objets Java
Plutôt que de déployer des fichiers malveillants traditionnels sur le serveur compromis, les attaquants ont utilisé la machine virtuelle Java (JVM) intégrée d'Oracle et l'instruction CREATE JAVA SOURCE pour compiler et stocker l'intégralité du toolkit de post-exploitation sous forme d'objets Java dans la base de données Oracle . Cette approche a rendu le toolkit invisible pour les défenses standard au niveau du système d'exploitation, car les outils EDR et antivirus se concentrent sur les processus, les binaires et les fichiers du système d'exploitation — ils n'inspectent généralement pas les classes Java et les wrappers PL/SQL stockés dans Oracle .
Le toolkit khunt comprenait les composants suivants, chacun stocké en tant qu'objet de base de données :
Composant
Fonction
KhuntCmd
Charge cmd.exe et exécute des commandes système arbitraires en les intégrant dans des instructions SQL envoyées à la base de données
KhuntHash
Extrait les noms d'utilisateur et les hachages de mots de passe des tables internes d'Oracle et les sauvegarde dans un fichier
KhuntFS / KhuntFS2
Explorateurs de fichiers pour lister, lire, rechercher et vérifier les tailles de fichiers sur le système compromis
KhuntT
Un simple outil « ping » pour confirmer que le toolkit est installé et accessible avant de procéder
KhuntUnzip
Utilitaire de décompression de fichiers
Wrappers khunt_ PL/SQL*
Procédures wrapper PL/SQL utilisées pour appeler les méthodes Java sous-jacentes
Obtenir le contrôle total du système : de la base de données au système d'exploitation Windows
Les attaquants ne se sont pas arrêtés à un accès au niveau de la base de données. Ils ont utilisé le toolkit khunt pour passer de la couche base de données au système d'exploitation Windows sous-jacent en plusieurs étapes :
Exécution de commandes système via KhuntCmd : Ils ont utilisé le module KhuntCmd pour exécuter cmd.exe /c whoami, ce qui a confirmé qu'ils disposaient de privilèges SYSTEM sur le serveur Windows, établissant une exécution de code à distance (RCE) de la base de données vers le système d'exploitation .
Vol d'identifiants : Ils ont utilisé PowerShell pour invoquer reg.exe et copier les ruches de registre SECURITY et SYSTEM, les sauvegardant sous les noms khuntSECURITY.hiv et khuntSYSTEM.hiv dans F:\Oracle\.
Énumération des services : Ils ont exécuté tasklist /svc et sauvegardé la sortie sous khunttasks.txt.
Extraction supplémentaire de ruches : Ils ont utilisé esentutl.exe pour copier les ruches SAM et une seconde copie des ruches SECURITY, les sauvegardant sous les noms khuntSAM.hiv et khunt_SECURITY.hiv.
Les ruches de registre exfiltrées pouvaient être utilisées hors ligne pour extraire et décoder les hachages de mots de passe de tous les comptes locaux du système .
Angles morts de la défense : les conclusions clés de Huntress
L'enquête de Huntress a révélé plusieurs angles morts critiques qui ont permis à cette attaque de réussir et d'éviter la détection :
Transformation de la base de données en plateforme d'attaque : La base de données a été transformée d'un simple magasin de données passif en une plateforme d'attaque active, le toolkit malveillant résidant à l'intérieur de la base de données plutôt que sur le disque ou en mémoire .
Contournement des EDR/AV : Les outils EDR et antivirus traditionnels n'inspectent généralement pas les classes Java et les wrappers PL/SQL stockés dans Oracle, rendant le toolkit invisible pour les défenses standard au niveau du système d'exploitation .
Vulnérabilité classique, livraison innovante : L'injection SQL initiale était une classe de bug bien connue. Aucune faille zero-day n'était nécessaire. La fonction de recherche automatique a suffi pour atteindre PL/SQL puis le système d'exploitation, montrant que des échecs de validation d'entrée basiques peuvent conduire à une compromission profonde lorsque le moteur de base de données dispose de capacités au niveau du système d'exploitation .
Comptes de base de données sur-provisionnés : Même après la réussite d'une injection SQL, les dégâts sont limités si le compte utilisateur de la base de données ne dispose pas des privilèges nécessaires pour créer des sources Java ou exécuter des procédures stockées. Les organisations sur-provisionnent souvent les comptes de base de données, donnant aux attaquants les permissions supplémentaires nécessaires pour déployer khunt .
Mesures d'atténuation recommandées par Huntress
Sur la base de cette attaque, Huntress a recommandé plusieurs mesures d'atténuation :
Un assainissement approprié des entrées et une paramétrisation des requêtes pour toutes les entrées web
La restriction des privilèges des utilisateurs de la base de données afin que même les requêtes injectées ne puissent pas créer de sources Java ou exécuter des procédures stockées arbitraires
L'extension du périmètre de surveillance pour inclure les objets de la base de données (classes Java, wrappers PL/SQL) plutôt que seulement les artefacts au niveau du système d'exploitation
Cette attaque rappelle avec force que les moteurs de base de données dotés d'environnements de programmation intégrés (comme la JVM d'Oracle) peuvent devenir des plateformes d'attaque furtives lorsqu'ils sont combinés à un seul champ d'entrée non validé. Les équipes de sécurité doivent étendre leur surveillance au-delà du système d'exploitation pour inclure la couche des objets de la base de données.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
