תקיפת Khunt: האקרים הפכו מסד נתונים של Oracle לפלטפורמת תקיפה מתקדמת
ביולי 2026, Huntress גילתה מתקפת SQL injection שבה האקרים ניצלו אפליקציית Java/Tomcat ציבורית כדי להחדיר את ערכת הכלים khunt כאובייקטי Java בתוך מסד נתונים של Oracle והשיגו גישת SYSTEM מלאה לשרת Windows. הערכה כללה רכיבים לביצוע פקודות OS (KhuntCmd), חילוץ hashes (KhuntHash), סייר קבצים (KhuntFS/FS2) ועוד כולם אוחסנ...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
ביולי 2026, Huntress גילתה מתקפת SQL injection שבה האקרים ניצלו אפליקציית Java/Tomcat ציבורית כדי להחדיר את ערכת הכלים khunt כאובייקטי Java בתוך מסד נתונים של Oracle והשיגו גישת SYSTEM מלאה לשרת Windows.
הערכה כללה רכיבים לביצוע פקודות OS (KhuntCmd), חילוץ hashes (KhuntHash), סייר קבצים (KhuntFS/FS2) ועוד כולם אוחסנו כאובייקטי מסד נתונים ועקפו גילוי על ידי EDR ו Antivirus.
Huntress הדגישה נקודות עיוורות קריטיות: כלי אבטחת קצה אינם בוחנים אובייקטי Java ו PL/SQL בתוך Oracle, והרשאות יתר בחשבונות מסד הנתונים אפשרו את המתקפה.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
ב-27 ביולי 2026, פלטפורמת האבטחה של Huntress זיהתה פעילות חשודה של גניבת אישורים על שרת שאירח מסד נתונים של Oracle . חקירה מעמיקה חשפה מתקפת SQL injection מתוחכמת - לא ניצול של פרצת zero-day, אלא ניצול של פגיעות מוכרת היטב באפליקציית Java/Tomcat ציבורית. מה שהפך את המתקפה הזו ליוצאת דופן היה הטכניקה של התוקפים: במקום להטמיע קבצים זדוניים על הדיסק, הם השתמשו במכונה הווירטואלית המובנית של Oracle (JVM) כדי לקמפל ולאחסן ערכת כלים שלמה לתקיפה בשם "khunt" כאובייקטי Java בתוך מסד הנתונים עצמו . גישה זו אפשרה לערכה להתחמק ממערכות זיהוי ותגובה מסורתיות (EDR) ומאנטי-וירוס, שאינן בודקות אובייקטים במסד הנתונים. משם, התוקפים עברו למערכת ההפעלה Windows הבסיסית, השיגו שליטה מלאה ברמת SYSTEM, חילצו רישות Registry שהכילו hashes של סיסמאות, ושלפו אותם החוצה . תשתית התוקפים זוהתה לכתובת ה-IP 178.162.151[.]229 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "תקיפת Khunt: האקרים הפכו מסד נתונים של Oracle לפלטפורמת תקיפה מתקדמת"?
ביולי 2026, Huntress גילתה מתקפת SQL injection שבה האקרים ניצלו אפליקציית Java/Tomcat ציבורית כדי להחדיר את ערכת הכלים khunt כאובייקטי Java בתוך מסד נתונים של Oracle והשיגו גישת SYSTEM מלאה לשרת Windows.
What are the key points to validate first?
ביולי 2026, Huntress גילתה מתקפת SQL injection שבה האקרים ניצלו אפליקציית Java/Tomcat ציבורית כדי להחדיר את ערכת הכלים khunt כאובייקטי Java בתוך מסד נתונים של Oracle והשיגו גישת SYSTEM מלאה לשרת Windows. הערכה כללה רכיבים לביצוע פקודות OS (KhuntCmd), חילוץ hashes (KhuntHash), סייר קבצים (KhuntFS/FS2) ועוד כולם אוחסנו כאובייקטי מסד נתונים ועקפו גילוי על ידי EDR ו Antivirus.
What should I do next in practice?
Huntress הדגישה נקודות עיוורות קריטיות: כלי אבטחת קצה אינם בוחנים אובייקטי Java ו PL/SQL בתוך Oracle, והרשאות יתר בחשבונות מסד הנתונים אפשרו את המתקפה.
תקיפת Khunt: האקרים הפכו מסד נתונים של Oracle לפלטפורמת תקיפה מתקדמת
ביולי 2026, Huntress גילתה מתקפת SQL injection שבה האקרים ניצלו אפליקציית Java/Tomcat ציבורית כדי להחדיר את ערכת הכלים khunt כאובייקטי Java בתוך מסד נתונים של Oracle והשיגו גישת SYSTEM מלאה לשרת Windows. הערכה כללה רכיבים לביצוע פקודות OS (KhuntCmd), חילוץ hashes (KhuntHash), סייר קבצים (KhuntFS/FS2) ועוד כולם אוחסנ...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
ביולי 2026, Huntress גילתה מתקפת SQL injection שבה האקרים ניצלו אפליקציית Java/Tomcat ציבורית כדי להחדיר את ערכת הכלים khunt כאובייקטי Java בתוך מסד נתונים של Oracle והשיגו גישת SYSTEM מלאה לשרת Windows.
הערכה כללה רכיבים לביצוע פקודות OS (KhuntCmd), חילוץ hashes (KhuntHash), סייר קבצים (KhuntFS/FS2) ועוד כולם אוחסנו כאובייקטי מסד נתונים ועקפו גילוי על ידי EDR ו Antivirus.
Huntress הדגישה נקודות עיוורות קריטיות: כלי אבטחת קצה אינם בוחנים אובייקטי Java ו PL/SQL בתוך Oracle, והרשאות יתר בחשבונות מסד הנתונים אפשרו את המתקפה.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
ב-27 ביולי 2026, פלטפורמת האבטחה של Huntress זיהתה פעילות חשודה של גניבת אישורים על שרת שאירח מסד נתונים של Oracle . חקירה מעמיקה חשפה מתקפת SQL injection מתוחכמת - לא ניצול של פרצת zero-day, אלא ניצול של פגיעות מוכרת היטב באפליקציית Java/Tomcat ציבורית. מה שהפך את המתקפה הזו ליוצאת דופן היה הטכניקה של התוקפים: במקום להטמיע קבצים זדוניים על הדיסק, הם השתמשו במכונה הווירטואלית המובנית של Oracle (JVM) כדי לקמפל ולאחסן ערכת כלים שלמה לתקיפה בשם "khunt" כאובייקטי Java בתוך מסד הנתונים עצמו . גישה זו אפשרה לערכה להתחמק ממערכות זיהוי ותגובה מסורתיות (EDR) ומאנטי-וירוס, שאינן בודקות אובייקטים במסד הנתונים. משם, התוקפים עברו למערכת ההפעלה Windows הבסיסית, השיגו שליטה מלאה ברמת SYSTEM, חילצו רישות Registry שהכילו hashes של סיסמאות, ושלפו אותם החוצה . תשתית התוקפים זוהתה לכתובת ה-IP 178.162.151[.]229 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "תקיפת Khunt: האקרים הפכו מסד נתונים של Oracle לפלטפורמת תקיפה מתקדמת"?
ביולי 2026, Huntress גילתה מתקפת SQL injection שבה האקרים ניצלו אפליקציית Java/Tomcat ציבורית כדי להחדיר את ערכת הכלים khunt כאובייקטי Java בתוך מסד נתונים של Oracle והשיגו גישת SYSTEM מלאה לשרת Windows.
What are the key points to validate first?
ביולי 2026, Huntress גילתה מתקפת SQL injection שבה האקרים ניצלו אפליקציית Java/Tomcat ציבורית כדי להחדיר את ערכת הכלים khunt כאובייקטי Java בתוך מסד נתונים של Oracle והשיגו גישת SYSTEM מלאה לשרת Windows. הערכה כללה רכיבים לביצוע פקודות OS (KhuntCmd), חילוץ hashes (KhuntHash), סייר קבצים (KhuntFS/FS2) ועוד כולם אוחסנו כאובייקטי מסד נתונים ועקפו גילוי על ידי EDR ו Antivirus.
What should I do next in practice?
Huntress הדגישה נקודות עיוורות קריטיות: כלי אבטחת קצה אינם בוחנים אובייקטי Java ו PL/SQL בתוך Oracle, והרשאות יתר בחשבונות מסד הנתונים אפשרו את המתקפה.
נקודת הכניסה הראשונית הייתה פגיעות SQL injection באפליקציית Java ציבורית שרצה על Apache Tomcat . תכונת החיפוש האוטומטי (autocomplete) של האפליקציה לא סיננה כראוי קלט משתמש, ואיפשרה לתוקפים להזריק פקודות SQL דרך חיבור JDBC למסד הנתונים של Oracle . כפי שציינו חוקרי Huntress, זו לא הייתה פגיעות חדשה - מתקפות SQL injection קיימות כבר עשרות שנים ונובעות בדרך כלל מטיפול לקוי בקלט משתמש . הכשל בסניטציה של שדה חיפוש פשוט הספיק כדי להתחיל את שרשרת החדירה.
ערכת Khunt: חיים בתוך מסד הנתונים כאובייקטי Java
במקום לפרוס קבצי תוכנה זדוניים מסורתיים על השרת שנפרץ, התוקפים השתמשו במכונה הווירטואלית המובנית של Oracle (JVM) ובפקודה CREATE JAVA SOURCE כדי לקמפל ולאחסן את כל ערכת הכלים לתקיפה כאובייקטי Java בתוך מסד הנתונים של Oracle . גישה זו הפכה את הערכה לבלתי נראית למערכות הגנה סטנדרטיות ברמת מערכת ההפעלה, מכיוון ש-EDR ואנטי-וירוס מתמקדים בתהליכים, קבצים בינאריים וקבצים במערכת ההפעלה - הם אינם בוחנים בדרך כלל מחלקות Java ו-wrappers של PL/SQL המאוחסנים בתוך Oracle .
ערכת ה-khunt כללה את הרכיבים הבאים, כל אחד מאוחסן כאובייקט במסד הנתונים:
רכיב
תפקיד
KhuntCmd
טוען את cmd.exe ומבצע פקודות OS שרירותיות על ידי הטמעתן בהצהרות SQL הנשלחות למסד הנתונים
KhuntHash
מחלץ שמות משתמש ו-hashes של סיסמאות מטבלאות המשתמשים הפנימיות של Oracle ושומר אותם לקובץ
KhuntFS / KhuntFS2
סיירי קבצים לרישום, קריאה, חיפוש ובדיקת גדלי קבצים במערכת שנפרצה
KhuntT
כלי "פינג" פשוט לאישור שהערכה מותקנת ונגישה לפני המשך הפעולה
KhuntUnzip
כלי לפתיחת קבצי ZIP
khunt_ PL/SQL wrappers*
פרוצדורות wrapper של PL/SQL המשמשות לקריאה למתודות Java הבסיסיות
השגת שליטה מלאה: ממסד הנתונים למערכת ההפעלה Windows
התוקפים לא עצרו בגישה ברמת מסד הנתונים. הם השתמשו בערכת khunt כדי לעבור משכבת מסד הנתונים למערכת ההפעלה Windows הבסיסית בתהליך רב-שלבי:
ביצוע פקודות OS באמצעות KhuntCmd: הם השתמשו במודול KhuntCmd כדי להריץ את הפקודה cmd.exe /c whoami, שאישרה שהם פועלים עם הרשאות SYSTEM מלאות על שרת Windows, ובכך קבעו יכולת ביצוע קוד מרחוק (RCE) ממסד הנתונים למערכת ההפעלה .
גניבת אישורים: הם השתמשו ב-PowerShell כדי להפעיל את reg.exe ולהעתיק את ה-Registry hives SECURITY ו-SYSTEM, שמרו אותם כ-khuntSECURITY.hiv ו-khuntSYSTEM.hiv בתיקייה F:\Oracle\.
ספירת שירותים: הם הריצו tasklist /svc ושמרו את הפלט כ-khunttasks.txt.
חילוץ נוסף של hives: הם השתמשו ב-esentutl.exe כדי להעתיק את SAM ועותק שני של SECURITY, ושמרו אותם כ-khuntSAM.hiv ו-khunt_SECURITY.hiv.
ניתן להשתמש ב-Registry hives שחולצו במצב לא מקוון כדי לחלץ ולפענח hashes של סיסמאות עבור כל חשבונות המשתמש המקומיים במערכת .
נקודות עיוורות בהגנה: ממצאי המפתח של Huntress
חקירת Huntress חשפה מספר נקודות עיוורות קריטיות שאפשרו למתקפה להצליח ולהתחמק מגילוי:
מסד נתונים כקרש קפיצה: מסד הנתונים הפך ממאגר נתונים פסיבי לפלטפורמת תקיפה פעילה, כשהערכה הזדונית חיה בתוך מסד הנתונים במקום על הדיסק או בזיכרון .
התחמקות מ-EDR/AV: כלי זיהוי ותגובה מסורתיים (EDR) ואנטי-וירוס אינם בוחנים בדרך כלל מחלקות Java ו-wrappers של PL/SQL המאוחסנים בתוך Oracle, מה שהופך את הערכה לבלתי נראית למערכות הגנה סטנדרטיות .
פגיעות קלאסית, העברה חדשנית: ה-SQL injection הראשוני היה סוג באג ידוע. לא היה צורך ב-zero-day. תכונת החיפוש האוטומטי הספיקה כדי להגיע ל-PL/SQL ומשם למערכת ההפעלה, מה שמראה שכישלונות בסיסיים באימות קלט יכולים להוביל לחדירה עמוקה כאשר מנוע מסד הנתונים כולל יכולות ברמת OS .
חשבונות מסד נתונים עם הרשאות יתר: גם לאחר שה-SQL injection מצליח, הנזק מוגבל אם לחשבון המשתמש במסד הנתונים אין הרשאות ליצור מקורות Java או להריץ פרוצדורות stored. ארגונים מעניקים לעתים קרובות הרשאות יתר לחשבונות מסד נתונים, ובכך נותנים לתוקפים את ההרשאות הנוספות הדרושות לפריסת khunt .
המלצות Huntress להגנה
בהתבסס על מתקפה זו, Huntress המליצה על מספר צעדי הגנה :
סניטציה נכונה של קלט ושימוש בפרמטרים מובנים (parameterization) עבור כל קלטי הרשת
הגבלת הרשאות משתמש במסד הנתונים, כך שגם שאילתות מוזרקות לא יוכלו ליצור מקורות Java או להריץ פרוצדורות stored שרירותיות
הרחבת היקף הניטור כך שיכלול אובייקטי מסד נתונים (מחלקות Java, wrappers של PL/SQL) במקום רק רכיבים ברמת OS
מתקפה זו משמשת תזכורת חדה לכך שמנועי מסד נתונים עם סביבות תכנות מובנות (כמו JVM של Oracle) יכולים להפוך לפלטפורמות תקיפה חמקניות כאשר הם משולבים עם אפילו שדה קלט אחד לא מאומת. צוותי אבטחה חייבים להרחיב את הניטור שלהם מעבר למערכת ההפעלה כדי לכלול גם את שכבת אובייקטי מסד הנתונים.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
נקודת הכניסה הראשונית הייתה פגיעות SQL injection באפליקציית Java ציבורית שרצה על Apache Tomcat . תכונת החיפוש האוטומטי (autocomplete) של האפליקציה לא סיננה כראוי קלט משתמש, ואיפשרה לתוקפים להזריק פקודות SQL דרך חיבור JDBC למסד הנתונים של Oracle . כפי שציינו חוקרי Huntress, זו לא הייתה פגיעות חדשה - מתקפות SQL injection קיימות כבר עשרות שנים ונובעות בדרך כלל מטיפול לקוי בקלט משתמש . הכשל בסניטציה של שדה חיפוש פשוט הספיק כדי להתחיל את שרשרת החדירה.
ערכת Khunt: חיים בתוך מסד הנתונים כאובייקטי Java
במקום לפרוס קבצי תוכנה זדוניים מסורתיים על השרת שנפרץ, התוקפים השתמשו במכונה הווירטואלית המובנית של Oracle (JVM) ובפקודה CREATE JAVA SOURCE כדי לקמפל ולאחסן את כל ערכת הכלים לתקיפה כאובייקטי Java בתוך מסד הנתונים של Oracle . גישה זו הפכה את הערכה לבלתי נראית למערכות הגנה סטנדרטיות ברמת מערכת ההפעלה, מכיוון ש-EDR ואנטי-וירוס מתמקדים בתהליכים, קבצים בינאריים וקבצים במערכת ההפעלה - הם אינם בוחנים בדרך כלל מחלקות Java ו-wrappers של PL/SQL המאוחסנים בתוך Oracle .
ערכת ה-khunt כללה את הרכיבים הבאים, כל אחד מאוחסן כאובייקט במסד הנתונים:
רכיב
תפקיד
KhuntCmd
טוען את cmd.exe ומבצע פקודות OS שרירותיות על ידי הטמעתן בהצהרות SQL הנשלחות למסד הנתונים
KhuntHash
מחלץ שמות משתמש ו-hashes של סיסמאות מטבלאות המשתמשים הפנימיות של Oracle ושומר אותם לקובץ
KhuntFS / KhuntFS2
סיירי קבצים לרישום, קריאה, חיפוש ובדיקת גדלי קבצים במערכת שנפרצה
KhuntT
כלי "פינג" פשוט לאישור שהערכה מותקנת ונגישה לפני המשך הפעולה
KhuntUnzip
כלי לפתיחת קבצי ZIP
khunt_ PL/SQL wrappers*
פרוצדורות wrapper של PL/SQL המשמשות לקריאה למתודות Java הבסיסיות
השגת שליטה מלאה: ממסד הנתונים למערכת ההפעלה Windows
התוקפים לא עצרו בגישה ברמת מסד הנתונים. הם השתמשו בערכת khunt כדי לעבור משכבת מסד הנתונים למערכת ההפעלה Windows הבסיסית בתהליך רב-שלבי:
ביצוע פקודות OS באמצעות KhuntCmd: הם השתמשו במודול KhuntCmd כדי להריץ את הפקודה cmd.exe /c whoami, שאישרה שהם פועלים עם הרשאות SYSTEM מלאות על שרת Windows, ובכך קבעו יכולת ביצוע קוד מרחוק (RCE) ממסד הנתונים למערכת ההפעלה .
גניבת אישורים: הם השתמשו ב-PowerShell כדי להפעיל את reg.exe ולהעתיק את ה-Registry hives SECURITY ו-SYSTEM, שמרו אותם כ-khuntSECURITY.hiv ו-khuntSYSTEM.hiv בתיקייה F:\Oracle\.
ספירת שירותים: הם הריצו tasklist /svc ושמרו את הפלט כ-khunttasks.txt.
חילוץ נוסף של hives: הם השתמשו ב-esentutl.exe כדי להעתיק את SAM ועותק שני של SECURITY, ושמרו אותם כ-khuntSAM.hiv ו-khunt_SECURITY.hiv.
ניתן להשתמש ב-Registry hives שחולצו במצב לא מקוון כדי לחלץ ולפענח hashes של סיסמאות עבור כל חשבונות המשתמש המקומיים במערכת .
נקודות עיוורות בהגנה: ממצאי המפתח של Huntress
חקירת Huntress חשפה מספר נקודות עיוורות קריטיות שאפשרו למתקפה להצליח ולהתחמק מגילוי:
מסד נתונים כקרש קפיצה: מסד הנתונים הפך ממאגר נתונים פסיבי לפלטפורמת תקיפה פעילה, כשהערכה הזדונית חיה בתוך מסד הנתונים במקום על הדיסק או בזיכרון .
התחמקות מ-EDR/AV: כלי זיהוי ותגובה מסורתיים (EDR) ואנטי-וירוס אינם בוחנים בדרך כלל מחלקות Java ו-wrappers של PL/SQL המאוחסנים בתוך Oracle, מה שהופך את הערכה לבלתי נראית למערכות הגנה סטנדרטיות .
פגיעות קלאסית, העברה חדשנית: ה-SQL injection הראשוני היה סוג באג ידוע. לא היה צורך ב-zero-day. תכונת החיפוש האוטומטי הספיקה כדי להגיע ל-PL/SQL ומשם למערכת ההפעלה, מה שמראה שכישלונות בסיסיים באימות קלט יכולים להוביל לחדירה עמוקה כאשר מנוע מסד הנתונים כולל יכולות ברמת OS .
חשבונות מסד נתונים עם הרשאות יתר: גם לאחר שה-SQL injection מצליח, הנזק מוגבל אם לחשבון המשתמש במסד הנתונים אין הרשאות ליצור מקורות Java או להריץ פרוצדורות stored. ארגונים מעניקים לעתים קרובות הרשאות יתר לחשבונות מסד נתונים, ובכך נותנים לתוקפים את ההרשאות הנוספות הדרושות לפריסת khunt .
המלצות Huntress להגנה
בהתבסס על מתקפה זו, Huntress המליצה על מספר צעדי הגנה :
סניטציה נכונה של קלט ושימוש בפרמטרים מובנים (parameterization) עבור כל קלטי הרשת
הגבלת הרשאות משתמש במסד הנתונים, כך שגם שאילתות מוזרקות לא יוכלו ליצור מקורות Java או להריץ פרוצדורות stored שרירותיות
הרחבת היקף הניטור כך שיכלול אובייקטי מסד נתונים (מחלקות Java, wrappers של PL/SQL) במקום רק רכיבים ברמת OS
מתקפה זו משמשת תזכורת חדה לכך שמנועי מסד נתונים עם סביבות תכנות מובנות (כמו JVM של Oracle) יכולים להפוך לפלטפורמות תקיפה חמקניות כאשר הם משולבים עם אפילו שדה קלט אחד לא מאומת. צוותי אבטחה חייבים להרחיב את הניטור שלהם מעבר למערכת ההפעלה כדי לכלול גם את שכבת אובייקטי מסד הנתונים.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
