Attacco Khunt: quando un database Oracle diventa una piattaforma di attacco invisibile
A luglio 2026, Huntress ha scoperto un attacco SQL injection in cui i criminali informatici hanno sfruttato un'applicazione web Java/Tomcat esposta pubblicamente per iniettare l'intero toolkit post exploitation 'khunt... Il toolkit includeva componenti per l'esecuzione di comandi (KhuntCmd), l'estrazione di hash (Kh...
Pubblicato daModificato con DeepSeek-V4-FlashImmagini generate con GPT Image 1.5
A luglio 2026, Huntress ha scoperto un attacco SQL injection in cui i criminali informatici hanno sfruttato un'applicazione web Java/Tomcat esposta pubblicamente per iniettare l'intero toolkit post exploitation 'khunt...
Il toolkit includeva componenti per l'esecuzione di comandi (KhuntCmd), l'estrazione di hash (KhuntHash), l'esplorazione dei file (KhuntFS/FS2) e altro, permettendo agli aggressori di ottenere privilegi di livello SYS...
Huntress ha evidenziato punti ciechi critici: gli strumenti EDR e antivirus non ispezionano le classi Java e i wrapper PL/SQL di Oracle, e account di database con privilegi eccessivi hanno reso possibile l'attacco.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Il 27 luglio 2026, la piattaforma di sicurezza Huntress ha rilevato un'attività sospetta di furto di credenziali su un server che ospitava un database Oracle. L'indagine ha svelato un attacco SQL injection sofisticato, non basato su una vulnerabilità zero-day, ma su una classe di vulnerabilità ben nota in un'applicazione web Java/Tomcat pubblicamente accessibile. A rendere l'attacco degno di nota è stata la tecnica dei criminali informatici: invece di scrivere file sul disco, hanno sfruttato la Java Virtual Machine integrata di Oracle per compilare e memorizzare un intero toolkit post-exploitation chiamato "khunt" come oggetti schema Java all'interno del database stesso. Questo approccio ha permesso al toolkit di eludere i tradizionali strumenti di rilevamento e risposta sugli endpoint (EDR) e gli antivirus, che non ispezionano gli oggetti del database. Da lì, gli aggressori si sono spostati al sistema operativo Windows sottostante, ottenendo l'esecuzione di codice remoto (RCE) a livello SYSTEM, estraendo i file del registro contenenti gli hash delle password e esfiltrandoli offline. Huntress ha tracciato l'infrastruttura degli aggressori fino all'IP 178.162.151[.]229 .
Come ha funzionato l'attacco: SQL injection tramite una ricerca autocomplete
Il vettore di accesso iniziale è stata una vulnerabilità di SQL injection in un'applicazione Java esposta pubblicamente in esecuzione su Apache Tomcat . La funzione di ricerca autocomplete dell'applicazione non convalidava correttamente l'input dell'utente, permettendo agli aggressori di iniettare comandi SQL tramite una connessione JDBC al database Oracle . Come hanno notato i ricercatori di Huntress, non si trattava di una classe di vulnerabilità nuova: gli attacchi SQL injection esistono da decenni e sono tipicamente il risultato di una gestione errata degli input utente inviati al server SQL . Il semplice fallimento dell'applicazione nel sanificare un campo di ricerca è stato sufficiente per dare inizio alla catena di compromissione.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Attacco Khunt: quando un database Oracle diventa una piattaforma di attacco invisibile"?
A luglio 2026, Huntress ha scoperto un attacco SQL injection in cui i criminali informatici hanno sfruttato un'applicazione web Java/Tomcat esposta pubblicamente per iniettare l'intero toolkit post exploitation 'khunt...
What are the key points to validate first?
A luglio 2026, Huntress ha scoperto un attacco SQL injection in cui i criminali informatici hanno sfruttato un'applicazione web Java/Tomcat esposta pubblicamente per iniettare l'intero toolkit post exploitation 'khunt... Il toolkit includeva componenti per l'esecuzione di comandi (KhuntCmd), l'estrazione di hash (KhuntHash), l'esplorazione dei file (KhuntFS/FS2) e altro, permettendo agli aggressori di ottenere privilegi di livello SYS...
What should I do next in practice?
Huntress ha evidenziato punti ciechi critici: gli strumenti EDR e antivirus non ispezionano le classi Java e i wrapper PL/SQL di Oracle, e account di database con privilegi eccessivi hanno reso possibile l'attacco.
Attacco Khunt: quando un database Oracle diventa una piattaforma di attacco invisibile
A luglio 2026, Huntress ha scoperto un attacco SQL injection in cui i criminali informatici hanno sfruttato un'applicazione web Java/Tomcat esposta pubblicamente per iniettare l'intero toolkit post exploitation 'khunt... Il toolkit includeva componenti per l'esecuzione di comandi (KhuntCmd), l'estrazione di hash (Kh...
Pubblicato daModificato con DeepSeek-V4-FlashImmagini generate con GPT Image 1.5
A luglio 2026, Huntress ha scoperto un attacco SQL injection in cui i criminali informatici hanno sfruttato un'applicazione web Java/Tomcat esposta pubblicamente per iniettare l'intero toolkit post exploitation 'khunt...
Il toolkit includeva componenti per l'esecuzione di comandi (KhuntCmd), l'estrazione di hash (KhuntHash), l'esplorazione dei file (KhuntFS/FS2) e altro, permettendo agli aggressori di ottenere privilegi di livello SYS...
Huntress ha evidenziato punti ciechi critici: gli strumenti EDR e antivirus non ispezionano le classi Java e i wrapper PL/SQL di Oracle, e account di database con privilegi eccessivi hanno reso possibile l'attacco.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Il 27 luglio 2026, la piattaforma di sicurezza Huntress ha rilevato un'attività sospetta di furto di credenziali su un server che ospitava un database Oracle. L'indagine ha svelato un attacco SQL injection sofisticato, non basato su una vulnerabilità zero-day, ma su una classe di vulnerabilità ben nota in un'applicazione web Java/Tomcat pubblicamente accessibile. A rendere l'attacco degno di nota è stata la tecnica dei criminali informatici: invece di scrivere file sul disco, hanno sfruttato la Java Virtual Machine integrata di Oracle per compilare e memorizzare un intero toolkit post-exploitation chiamato "khunt" come oggetti schema Java all'interno del database stesso. Questo approccio ha permesso al toolkit di eludere i tradizionali strumenti di rilevamento e risposta sugli endpoint (EDR) e gli antivirus, che non ispezionano gli oggetti del database. Da lì, gli aggressori si sono spostati al sistema operativo Windows sottostante, ottenendo l'esecuzione di codice remoto (RCE) a livello SYSTEM, estraendo i file del registro contenenti gli hash delle password e esfiltrandoli offline. Huntress ha tracciato l'infrastruttura degli aggressori fino all'IP 178.162.151[.]229 .
Come ha funzionato l'attacco: SQL injection tramite una ricerca autocomplete
Il vettore di accesso iniziale è stata una vulnerabilità di SQL injection in un'applicazione Java esposta pubblicamente in esecuzione su Apache Tomcat . La funzione di ricerca autocomplete dell'applicazione non convalidava correttamente l'input dell'utente, permettendo agli aggressori di iniettare comandi SQL tramite una connessione JDBC al database Oracle . Come hanno notato i ricercatori di Huntress, non si trattava di una classe di vulnerabilità nuova: gli attacchi SQL injection esistono da decenni e sono tipicamente il risultato di una gestione errata degli input utente inviati al server SQL . Il semplice fallimento dell'applicazione nel sanificare un campo di ricerca è stato sufficiente per dare inizio alla catena di compromissione.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Attacco Khunt: quando un database Oracle diventa una piattaforma di attacco invisibile"?
A luglio 2026, Huntress ha scoperto un attacco SQL injection in cui i criminali informatici hanno sfruttato un'applicazione web Java/Tomcat esposta pubblicamente per iniettare l'intero toolkit post exploitation 'khunt...
What are the key points to validate first?
A luglio 2026, Huntress ha scoperto un attacco SQL injection in cui i criminali informatici hanno sfruttato un'applicazione web Java/Tomcat esposta pubblicamente per iniettare l'intero toolkit post exploitation 'khunt... Il toolkit includeva componenti per l'esecuzione di comandi (KhuntCmd), l'estrazione di hash (KhuntHash), l'esplorazione dei file (KhuntFS/FS2) e altro, permettendo agli aggressori di ottenere privilegi di livello SYS...
What should I do next in practice?
Huntress ha evidenziato punti ciechi critici: gli strumenti EDR e antivirus non ispezionano le classi Java e i wrapper PL/SQL di Oracle, e account di database con privilegi eccessivi hanno reso possibile l'attacco.
Il toolkit Khunt: vivere all'interno del database come oggetti Java
Invece di distribuire file malware tradizionali sul server compromesso, gli aggressori hanno utilizzato la Java Virtual Machine (JVM) integrata di Oracle e l'istruzione CREATE JAVA SOURCE per compilare e memorizzare l'intero toolkit post-exploitation come oggetti schema Java all'interno del database Oracle . Questo approccio ha reso il toolkit invisibile alle difese standard a livello di sistema operativo, perché gli strumenti EDR e antivirus si concentrano su processi, binari e file del sistema operativo e non ispezionano generalmente le classi Java e i wrapper PL/SQL memorizzati all'interno di Oracle .
Il toolkit khunt includeva questi componenti, ciascuno memorizzato come oggetto del database:
Componente
Funzione
KhuntCmd
Carica cmd.exe ed esegue comandi arbitrari del sistema operativo incorporandoli in istruzioni SQL inviate al database
KhuntHash
Estrae nomi utente e hash delle password dalle tabelle interne degli utenti di Oracle e li salva in un file
KhuntFS / KhuntFS2
Esploratori di file per elencare, leggere, cercare e controllare le dimensioni dei file sul sistema compromesso
KhuntT
Un semplice strumento "ping" per confermare che il toolkit sia installato e raggiungibile prima di procedere
KhuntUnzip
Utility per decomprimere file
Wrapper PL/SQL khunt_*
Procedure wrapper PL/SQL utilizzate per chiamare i metodi Java sottostanti
Ottenere il controllo completo del sistema: dal database al sistema operativo Windows
Gli aggressori non si sono fermati all'accesso a livello di database. Hanno utilizzato il toolkit khunt per passare dal livello del database al sistema operativo Windows sottostante in un processo a più fasi:
Esecuzione di comandi del sistema operativo tramite KhuntCmd: Hanno utilizzato il modulo KhuntCmd per eseguire cmd.exe /c whoami, che ha confermato che stavano operando con privilegi di livello SYSTEM sul server Windows, stabilendo l'esecuzione di codice remoto (RCE) dal database al sistema operativo .
Furto di credenziali: Hanno utilizzato PowerShell per invocare reg.exe e copiare i file del registro SECURITY e SYSTEM, salvandoli come khuntSECURITY.hiv e khuntSYSTEM.hiv in F:\Oracle\.
Enumerazione dei servizi: Hanno eseguito tasklist /svc e salvato l'output come khunttasks.txt.
Estrazione aggiuntiva di file del registro: Hanno utilizzato esentutl.exe per copiare il file SAM e una seconda copia del file SECURITY, salvandoli come khuntSAM.hiv e khunt_SECURITY.hiv.
I file del registro esfiltrati potevano essere utilizzati offline per estrarre e decodificare gli hash delle password di tutti gli account locali sul sistema .
Punti ciechi della difesa: le scoperte chiave di Huntress
L'indagine di Huntress ha rivelato diversi punti ciechi critici che hanno permesso a questo attacco di avere successo e di eludere il rilevamento:
Il database come testa di ponte: Il database è stato trasformato da archivio dati passivo in piattaforma di attacco attiva, con il toolkit dannoso che viveva all'interno del database anziché su disco o in memoria .
Elusione di EDR/AV: Gli strumenti tradizionali di rilevamento e risposta sugli endpoint (EDR) e gli antivirus non ispezionano generalmente le classi Java e i wrapper PL/SQL memorizzati all'interno di Oracle, rendendo il toolkit invisibile alle difese standard a livello di sistema operativo .
Vulnerabilità classica, consegna innovativa: L'SQL injection iniziale era una classe di bug ben nota. Non era necessaria alcuna vulnerabilità zero-day. La funzione di ricerca autocomplete è stata sufficiente per raggiungere PL/SQL e poi il sistema operativo, dimostrando che i fallimenti di base nella convalida degli input possono portare a una compromissione profonda quando il motore del database ha capacità a livello di sistema operativo .
Account di database con privilegi eccessivi: Anche dopo che un SQL injection ha successo, il danno è limitato se l'account utente del database non ha i privilegi per creare origini Java o eseguire procedure memorizzate. Le organizzazioni spesso forniscono agli account di database privilegi eccessivi, dando agli aggressori le autorizzazioni extra necessarie per distribuire khunt .
Mitigazioni raccomandate da Huntress
Sulla base di questo attacco, Huntress ha raccomandato diverse misure di mitigazione :
Sanificazione corretta degli input e parameterizzazione delle query per tutti gli input web
Limitazione dei privilegi degli utenti del database in modo che anche le query iniettate non possano creare origini Java o eseguire procedure memorizzate arbitrarie
Espansione del perimetro di monitoraggio per includere gli oggetti del database (classi Java, wrapper PL/SQL) anziché solo gli artefatti a livello di sistema operativo
Questo attacco serve come un duro promemoria del fatto che i motori di database con ambienti di programmazione integrati (come la JVM di Oracle) possono diventare piattaforme di attacco furtive se combinati anche con un singolo campo di input non convalidato. I team di sicurezza devono estendere il loro monitoraggio oltre il sistema operativo per includere il livello degli oggetti del database.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
Il toolkit Khunt: vivere all'interno del database come oggetti Java
Invece di distribuire file malware tradizionali sul server compromesso, gli aggressori hanno utilizzato la Java Virtual Machine (JVM) integrata di Oracle e l'istruzione CREATE JAVA SOURCE per compilare e memorizzare l'intero toolkit post-exploitation come oggetti schema Java all'interno del database Oracle . Questo approccio ha reso il toolkit invisibile alle difese standard a livello di sistema operativo, perché gli strumenti EDR e antivirus si concentrano su processi, binari e file del sistema operativo e non ispezionano generalmente le classi Java e i wrapper PL/SQL memorizzati all'interno di Oracle .
Il toolkit khunt includeva questi componenti, ciascuno memorizzato come oggetto del database:
Componente
Funzione
KhuntCmd
Carica cmd.exe ed esegue comandi arbitrari del sistema operativo incorporandoli in istruzioni SQL inviate al database
KhuntHash
Estrae nomi utente e hash delle password dalle tabelle interne degli utenti di Oracle e li salva in un file
KhuntFS / KhuntFS2
Esploratori di file per elencare, leggere, cercare e controllare le dimensioni dei file sul sistema compromesso
KhuntT
Un semplice strumento "ping" per confermare che il toolkit sia installato e raggiungibile prima di procedere
KhuntUnzip
Utility per decomprimere file
Wrapper PL/SQL khunt_*
Procedure wrapper PL/SQL utilizzate per chiamare i metodi Java sottostanti
Ottenere il controllo completo del sistema: dal database al sistema operativo Windows
Gli aggressori non si sono fermati all'accesso a livello di database. Hanno utilizzato il toolkit khunt per passare dal livello del database al sistema operativo Windows sottostante in un processo a più fasi:
Esecuzione di comandi del sistema operativo tramite KhuntCmd: Hanno utilizzato il modulo KhuntCmd per eseguire cmd.exe /c whoami, che ha confermato che stavano operando con privilegi di livello SYSTEM sul server Windows, stabilendo l'esecuzione di codice remoto (RCE) dal database al sistema operativo .
Furto di credenziali: Hanno utilizzato PowerShell per invocare reg.exe e copiare i file del registro SECURITY e SYSTEM, salvandoli come khuntSECURITY.hiv e khuntSYSTEM.hiv in F:\Oracle\.
Enumerazione dei servizi: Hanno eseguito tasklist /svc e salvato l'output come khunttasks.txt.
Estrazione aggiuntiva di file del registro: Hanno utilizzato esentutl.exe per copiare il file SAM e una seconda copia del file SECURITY, salvandoli come khuntSAM.hiv e khunt_SECURITY.hiv.
I file del registro esfiltrati potevano essere utilizzati offline per estrarre e decodificare gli hash delle password di tutti gli account locali sul sistema .
Punti ciechi della difesa: le scoperte chiave di Huntress
L'indagine di Huntress ha rivelato diversi punti ciechi critici che hanno permesso a questo attacco di avere successo e di eludere il rilevamento:
Il database come testa di ponte: Il database è stato trasformato da archivio dati passivo in piattaforma di attacco attiva, con il toolkit dannoso che viveva all'interno del database anziché su disco o in memoria .
Elusione di EDR/AV: Gli strumenti tradizionali di rilevamento e risposta sugli endpoint (EDR) e gli antivirus non ispezionano generalmente le classi Java e i wrapper PL/SQL memorizzati all'interno di Oracle, rendendo il toolkit invisibile alle difese standard a livello di sistema operativo .
Vulnerabilità classica, consegna innovativa: L'SQL injection iniziale era una classe di bug ben nota. Non era necessaria alcuna vulnerabilità zero-day. La funzione di ricerca autocomplete è stata sufficiente per raggiungere PL/SQL e poi il sistema operativo, dimostrando che i fallimenti di base nella convalida degli input possono portare a una compromissione profonda quando il motore del database ha capacità a livello di sistema operativo .
Account di database con privilegi eccessivi: Anche dopo che un SQL injection ha successo, il danno è limitato se l'account utente del database non ha i privilegi per creare origini Java o eseguire procedure memorizzate. Le organizzazioni spesso forniscono agli account di database privilegi eccessivi, dando agli aggressori le autorizzazioni extra necessarie per distribuire khunt .
Mitigazioni raccomandate da Huntress
Sulla base di questo attacco, Huntress ha raccomandato diverse misure di mitigazione :
Sanificazione corretta degli input e parameterizzazione delle query per tutti gli input web
Limitazione dei privilegi degli utenti del database in modo che anche le query iniettate non possano creare origini Java o eseguire procedure memorizzate arbitrarie
Espansione del perimetro di monitoraggio per includere gli oggetti del database (classi Java, wrapper PL/SQL) anziché solo gli artefatti a livello di sistema operativo
Questo attacco serve come un duro promemoria del fatto che i motori di database con ambienti di programmazione integrati (come la JVM di Oracle) possono diventare piattaforme di attacco furtive se combinati anche con un singolo campo di input non convalidato. I team di sicurezza devono estendere il loro monitoraggio oltre il sistema operativo per includere il livello degli oggetti del database.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
