Oracleデータベースを悪用した「Khunt」攻撃：SQLインジェクションからWindows完全制御までの全貌

攻撃の仕組み：オートコンプリート検索からのSQLインジェクション

初期侵入経路は、Apache Tomcat上で動作する公開JavaアプリケーションのSQLインジェクション脆弱性でした。このアプリケーションのオートコンプリート（自動補完）検索機能は、ユーザー入力を適切に検証しておらず、攻撃者はJDBC接続を介してOracleデータベースにSQLコマンドを注入できました。Huntressの研究者が指摘するように、これは新しい脆弱性クラスではなく、SQLインジェクション攻撃は数十年にわたり存在しており、通常はSQLサーバーに送信されるユーザー入力の不適切な処理が原因です。単純な検索フィールドのサニタイズ不足が、侵害の連鎖を引き起こす十分なきっかけとなったのです。

Khuntツールキット：データベース内にJavaオブジェクトとして潜む

攻撃者は、侵害したサーバーに従来のマルウェアファイルを展開する代わりに、Oracleに組み込まれたJVMとCREATE JAVA SOURCEステートメントを使用して、ポストエクスプロイトツールキット全体をOracleデータベース内のJavaスキーマオブジェクトとしてコンパイルして格納しました。このアプローチにより、ツールキットは標準的なOSレベルの防御から不可視化されました。EDRやアンチウイルスツールは、プロセス、バイナリ、ファイルに焦点を当てており、Oracle内部に保存されたJavaクラスやPL/SQLラッパーを一般的に検査しないからです。

khuntツールキットには、それぞれがデータベースオブジェクトとして保存された以下のコンポーネントが含まれていました。

完全なシステム制御の獲得：データベースからWindows OSへ

攻撃者はデータベースレベルのアクセスで止まりませんでした。khuntツールキットを使用して、データベース層から基盤となるWindowsオペレーティングシステムへと、段階的に攻撃を移行しました。

1. KhuntCmdによるOSコマンド実行: KhuntCmdモジュールを使用してcmd.exe /c whoamiを実行。Windowsサーバー上でSYSTEMレベルの特権で動作していることを確認し、データベースからOSへのRCE（リモートコード実行）を確立しました。
2. 資格情報の窃取: PowerShellを使用してreg.exeを呼び出し、SECURITYおよびSYSTEMレジストリハイブをコピー。F:\Oracle\にkhuntSECURITY.hivおよびkhuntSYSTEM.hivとして保存しました。
3. サービスの列挙: tasklist /svcを実行し、出力をkhunttasks.txtとして保存しました。
4. 追加ハイブの抽出: esentutl.exeを使用してSAMおよびSECURITYハイブの2つ目のコピーを作成し、khuntSAM.hivおよびkhunt_SECURITY.hivとして保存しました。

持ち出されたレジストリハイブは、オフラインで使用してシステム上のすべてのローカルアカウントのパスワードハッシュを抽出およびデコードすることが可能でした。

防御の盲点：Huntressによる主要な発見

Huntressの調査により、この攻撃を成功させ、検知を逃れることを可能にした、いくつかの重要な盲点が明らかになりました。

• データベースの橋頭堡化: データベースが受動的なデータストアから能動的な攻撃プラットフォームへと変貌。悪意のあるツールキットはディスクやメモリ上ではなく、データベース内部に存在していました。
• EDR/AVの回避: 従来のEDRやアンチウイルスツールは、Oracle内部に保存されたJavaクラスやPL/SQLラッパーを一般的に検査しないため、ツールキットは標準的なOSレベルの防御から不可視化されました。
• 古典的な脆弱性、革新的な運用手法: 初期のSQLインジェクションはよく知られたバグクラスであり、ゼロデイは必要ありませんでした。オートコンプリート検索機能がPL/SQL、そしてOSへと到達するのに十分であり、データベースエンジンがOSレベルの機能を持つ場合、基本的な入力検証の失敗が深刻な侵害につながることを示しています。
• 過剰な権限を持つデータベースアカウント: SQLインジェクションが成功した後でも、データベースユーザーアカウントにJavaソースを作成したりストアドプロシージャを実行したりする権限がなければ、被害は限定されます。しかし、組織はしばしばデータベースアカウントに過剰な権限を付与しており、攻撃者にkhuntを展開するために必要な追加の権限を与えてしまっています。

Huntressが推奨する対策

この攻撃に基づき、Huntressは以下の対策を推奨しています。

• すべてのWeb入力に対する適切な入力サニタイズとクエリのパラメータ化
• 注入されたクエリでもJavaソースを作成したり、任意のストアドプロシージャを実行したりできないように、データベースユーザーの権限を制限する
• OSレベルの成果物だけでなく、データベースオブジェクト（Javaクラス、PL/SQLラッパー）も含めた監視範囲の拡大

この攻撃は、組み込みプログラミング環境（OracleのJVMなど）を持つデータベースエンジンが、たった1つの未検証の入力フィールドと組み合わさるだけで、ステルス性の高い攻撃プラットフォームになり得るという厳粛な警告です。セキュリティチームは、オペレーティングシステムを超えて、データベースオブジェクト層にまで監視範囲を拡大する必要があります。