Khunt-aanval: Hoe hackers een Oracle database ombouwden tot een post-exploitatieplatform
In juli 2026 ontdekte Huntress een SQL injectie aanval waarbij aanvallers een kwetsbare Java/Tomcat webapp gebruikten om de volledige 'khunt' toolkit als Java schema objecten in een Oracle database te injecteren, onzi... De toolkit bevatte componenten voor opdrachtuitvoering (KhuntCmd), hashextractie (KhuntHash), be...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
In juli 2026 ontdekte Huntress een SQL injectie aanval waarbij aanvallers een kwetsbare Java/Tomcat webapp gebruikten om de volledige 'khunt' toolkit als Java schema objecten in een Oracle database te injecteren, onzi...
De toolkit bevatte componenten voor opdrachtuitvoering (KhuntCmd), hashextractie (KhuntHash), bestandsverkenning (KhuntFS/FS2) en meer, waarmee aanvallers uiteindelijk SYSTEM toegang kregen tot de onderliggende Window...
Huntress wees op kritieke blinde vlekken: EDR/AV tools inspecteren geen Oracle Java klassen en PL/SQL wrappers, en overbemande database accounts maakten de aanval mogelijk.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Op 27 juli 2026 werd Huntress gealarmeerd door verdachte activiteit op een server met een Oracle-database. Uit onderzoek bleek dat het ging om een geavanceerde SQL-injectie-aanval – geen zero-day, maar een klassiek beveiligingslek in een openbare Java/Tomcat-webapplicatie . Wat de aanval bijzonder maakte, was de techniek van de aanvallers: in plaats van bestanden op de schijf te zetten, gebruikten ze Oracle's ingebouwde Java Virtual Machine om een complete post-exploitatie-toolkit, genaamd 'khunt', te compileren en op te slaan als Java-schema-objecten in de database zelf. Hierdoor was de toolkit onzichtbaar voor traditionele endpoint detection and response (EDR)- en antivirusprogramma's, die geen database-objecten inspecteren. Van daaruit schakelden de aanvallers over naar het onderliggende Windows-besturingssysteem, verwierven ze volledige SYSTEM-rechten, extraheerden ze register-hives met wachtwoordhashes en voerden ze deze offline uit. Huntress traceerde de infrastructuur van de aanvallers naar IP 178.162.151[.]229 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Khunt-aanval: Hoe hackers een Oracle database ombouwden tot een post-exploitatieplatform"?
In juli 2026 ontdekte Huntress een SQL injectie aanval waarbij aanvallers een kwetsbare Java/Tomcat webapp gebruikten om de volledige 'khunt' toolkit als Java schema objecten in een Oracle database te injecteren, onzi...
What are the key points to validate first?
In juli 2026 ontdekte Huntress een SQL injectie aanval waarbij aanvallers een kwetsbare Java/Tomcat webapp gebruikten om de volledige 'khunt' toolkit als Java schema objecten in een Oracle database te injecteren, onzi... De toolkit bevatte componenten voor opdrachtuitvoering (KhuntCmd), hashextractie (KhuntHash), bestandsverkenning (KhuntFS/FS2) en meer, waarmee aanvallers uiteindelijk SYSTEM toegang kregen tot de onderliggende Window...
What should I do next in practice?
Huntress wees op kritieke blinde vlekken: EDR/AV tools inspecteren geen Oracle Java klassen en PL/SQL wrappers, en overbemande database accounts maakten de aanval mogelijk.
Khunt-aanval: Hoe hackers een Oracle database ombouwden tot een post-exploitatieplatform
In juli 2026 ontdekte Huntress een SQL injectie aanval waarbij aanvallers een kwetsbare Java/Tomcat webapp gebruikten om de volledige 'khunt' toolkit als Java schema objecten in een Oracle database te injecteren, onzi... De toolkit bevatte componenten voor opdrachtuitvoering (KhuntCmd), hashextractie (KhuntHash), be...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
In juli 2026 ontdekte Huntress een SQL injectie aanval waarbij aanvallers een kwetsbare Java/Tomcat webapp gebruikten om de volledige 'khunt' toolkit als Java schema objecten in een Oracle database te injecteren, onzi...
De toolkit bevatte componenten voor opdrachtuitvoering (KhuntCmd), hashextractie (KhuntHash), bestandsverkenning (KhuntFS/FS2) en meer, waarmee aanvallers uiteindelijk SYSTEM toegang kregen tot de onderliggende Window...
Huntress wees op kritieke blinde vlekken: EDR/AV tools inspecteren geen Oracle Java klassen en PL/SQL wrappers, en overbemande database accounts maakten de aanval mogelijk.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Op 27 juli 2026 werd Huntress gealarmeerd door verdachte activiteit op een server met een Oracle-database. Uit onderzoek bleek dat het ging om een geavanceerde SQL-injectie-aanval – geen zero-day, maar een klassiek beveiligingslek in een openbare Java/Tomcat-webapplicatie . Wat de aanval bijzonder maakte, was de techniek van de aanvallers: in plaats van bestanden op de schijf te zetten, gebruikten ze Oracle's ingebouwde Java Virtual Machine om een complete post-exploitatie-toolkit, genaamd 'khunt', te compileren en op te slaan als Java-schema-objecten in de database zelf. Hierdoor was de toolkit onzichtbaar voor traditionele endpoint detection and response (EDR)- en antivirusprogramma's, die geen database-objecten inspecteren. Van daaruit schakelden de aanvallers over naar het onderliggende Windows-besturingssysteem, verwierven ze volledige SYSTEM-rechten, extraheerden ze register-hives met wachtwoordhashes en voerden ze deze offline uit. Huntress traceerde de infrastructuur van de aanvallers naar IP 178.162.151[.]229 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Khunt-aanval: Hoe hackers een Oracle database ombouwden tot een post-exploitatieplatform"?
In juli 2026 ontdekte Huntress een SQL injectie aanval waarbij aanvallers een kwetsbare Java/Tomcat webapp gebruikten om de volledige 'khunt' toolkit als Java schema objecten in een Oracle database te injecteren, onzi...
What are the key points to validate first?
In juli 2026 ontdekte Huntress een SQL injectie aanval waarbij aanvallers een kwetsbare Java/Tomcat webapp gebruikten om de volledige 'khunt' toolkit als Java schema objecten in een Oracle database te injecteren, onzi... De toolkit bevatte componenten voor opdrachtuitvoering (KhuntCmd), hashextractie (KhuntHash), bestandsverkenning (KhuntFS/FS2) en meer, waarmee aanvallers uiteindelijk SYSTEM toegang kregen tot de onderliggende Window...
What should I do next in practice?
Huntress wees op kritieke blinde vlekken: EDR/AV tools inspecteren geen Oracle Java klassen en PL/SQL wrappers, en overbemande database accounts maakten de aanval mogelijk.
Hoe de aanval werkte: SQL-injectie via een automatische aanvulzoekopdracht
Het eerste toegangspunt was een SQL-injectiekwetsbaarheid in een openbare Java-applicatie die op Apache Tomcat draaide . De automatische aanvulfunctie van de applicatie controleerde gebruikersinvoer niet goed, waardoor aanvallers SQL-commando's konden injecteren via een JDBC-verbinding met de Oracle-database . Zoals Huntress-onderzoekers opmerkten, was dit geen nieuw type kwetsbaarheid – SQL-injectie-aanvallen bestaan al tientallen jaren en zijn meestal het gevolg van het niet correct afhandelen van gebruikersinvoer naar de SQL-server . Het feit dat de applicatie een simpel zoekveld niet controleerde, was voldoende om de hele keten van compromittering in gang te zetten.
De Khunt-toolkit: levend in de database als Java-objecten
In plaats van traditionele malwarebestanden op de gecompromitteerde server te plaatsen, gebruikten de aanvallers Oracle's ingebouwde Java Virtual Machine (JVM) en de CREATE JAVA SOURCE-instructie om de volledige post-exploitatie-toolkit te compileren en op te slaan als Java-schema-objecten in de Oracle-database . Deze aanpak maakte de toolkit onzichtbaar voor standaard OS-beveiliging, omdat EDR- en antivirusprogramma's zich richten op processen, binaire bestanden en bestanden op het besturingssysteem – ze inspecteren over het algemeen geen Java-klassen en PL/SQL-wrappers die in Oracle zijn opgeslagen .
De khunt-toolkit bevatte de volgende componenten, elk opgeslagen als een databaseobject:
Component
Functie
KhuntCmd
Laadt cmd.exe en voert willekeurige OS-commando's uit door ze in SQL-instructies te verwerken die naar de database worden gestuurd
KhuntHash
Haalt gebruikersnamen en wachtwoordhashes op uit de interne gebruikerstabellen van Oracle en slaat ze op in een bestand
KhuntFS / KhuntFS2
Bestandsverkenner voor het weergeven, lezen, doorzoeken en controleren van bestandsgroottes op het gecompromitteerde systeem
KhuntT
Een eenvoudige 'ping'-tool om te bevestigen dat de toolkit is geïnstalleerd en bereikbaar is voordat verder wordt gegaan
KhuntUnzip
Hulpprogramma voor het uitpakken van bestanden
khunt_ PL/SQL-wrappers*
PL/SQL-wrapperprocedures die worden gebruikt om de onderliggende Java-methoden aan te roepen
Volledige systeemcontrole bereiken: van database naar Windows-besturingssysteem
De aanvallers bleven niet steken op databaseniveau. Ze gebruikten de khunt-toolkit om in een meerstappenproces van de databaselaag naar het onderliggende Windows-besturingssysteem te gaan:
OS-commando-uitvoering via KhuntCmd: Ze gebruikten de KhuntCmd-module om cmd.exe /c whoami uit te voeren, waarmee werd bevestigd dat ze met SYSTEM-rechten op de Windows-server draaiden. Dit gaf hen externe code-uitvoering (RCE) van de database naar het OS .
Diefstal van inloggegevens: Ze gebruikten PowerShell om reg.exe aan te roepen en de SECURITY- en SYSTEM-register-hives te kopiëren, opgeslagen als khuntSECURITY.hiv en khuntSYSTEM.hiv in F:\Oracle\.
Service-inventarisatie: Ze voerden tasklist /svc uit en sloegen de uitvoer op als khunttasks.txt.
Extra hive-extractie: Ze gebruikten esentutl.exe om de SAM en een tweede kopie van de SECURITY-hives te kopiëren, opgeslagen als khuntSAM.hiv en khunt_SECURITY.hiv.
De geëxfiltreerde register-hives konden offline worden gebruikt om wachtwoordhashes voor alle lokale accounts op het systeem te extraheren en te decoderen .
Blinde vlekken in de verdediging: belangrijkste bevindingen van Huntress
Het onderzoek van Huntress bracht verschillende kritieke blinde vlekken aan het licht die deze aanval mogelijk maakten:
Database als bruggenhoofd: De database werd omgevormd van een passieve gegevensopslag naar een actief aanvalsplatform, waarbij de kwaadaardige toolkit in de database leefde in plaats van op de schijf of in het geheugen .
EDR/AV-ontwijking: Traditionele EDR- en antivirusprogramma's inspecteren over het algemeen geen Java-klassen en PL/SQL-wrappers die in Oracle zijn opgeslagen, waardoor de toolkit onzichtbaar was voor standaard OS-beveiliging .
Klassiek lek, nieuwe aanpak: De eerste SQL-injectie was een bekende fout. Er was geen zero-day voor nodig. Het automatische aanvulveld was genoeg om PL/SQL en vervolgens het OS te bereiken, wat laat zien dat basisinvoervalidatiefouten kunnen leiden tot diepgaande compromittering als de database-engine OS-mogelijkheden heeft .
Overbemande database-accounts: Zelfs na een succesvolle SQL-injectie is de schade beperkt als het database-account geen rechten heeft om Java-bronnen te schrijven of opgeslagen procedures uit te voeren. Organisaties kennen database-accounts vaak te veel rechten toe, waardoor aanvallers de extra machtigingen krijgen die nodig zijn om khunt te implementeren .
Maatregelen aanbevolen door Huntress
Op basis van deze aanval beval Huntress de volgende maatregelen aan :
Grondige invoervalidatie en parameterisatie van query's voor alle webinvoer
Beperken van database-accountrechten, zodat zelfs geïnjecteerde query's geen Java-bronnen kunnen maken of willekeurige opgeslagen procedures kunnen uitvoeren
Uitbreiden van de bewakingsscope naar database-objecten (Java-klassen, PL/SQL-wrappers) in plaats van alleen OS-niveau-artefacten
Deze aanval dient als een duidelijke herinnering dat database-engines met ingebouwde programmeeromgevingen (zoals Oracle's JVM) stille aanvalsplatforms kunnen worden wanneer ze worden gecombineerd met slechts één ongevalideerd invoerveld. Beveiligingsteams moeten hun bewaking uitbreiden tot voorbij het besturingssysteem en ook de databaselaag in de gaten houden.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
Hoe de aanval werkte: SQL-injectie via een automatische aanvulzoekopdracht
Het eerste toegangspunt was een SQL-injectiekwetsbaarheid in een openbare Java-applicatie die op Apache Tomcat draaide . De automatische aanvulfunctie van de applicatie controleerde gebruikersinvoer niet goed, waardoor aanvallers SQL-commando's konden injecteren via een JDBC-verbinding met de Oracle-database . Zoals Huntress-onderzoekers opmerkten, was dit geen nieuw type kwetsbaarheid – SQL-injectie-aanvallen bestaan al tientallen jaren en zijn meestal het gevolg van het niet correct afhandelen van gebruikersinvoer naar de SQL-server . Het feit dat de applicatie een simpel zoekveld niet controleerde, was voldoende om de hele keten van compromittering in gang te zetten.
De Khunt-toolkit: levend in de database als Java-objecten
In plaats van traditionele malwarebestanden op de gecompromitteerde server te plaatsen, gebruikten de aanvallers Oracle's ingebouwde Java Virtual Machine (JVM) en de CREATE JAVA SOURCE-instructie om de volledige post-exploitatie-toolkit te compileren en op te slaan als Java-schema-objecten in de Oracle-database . Deze aanpak maakte de toolkit onzichtbaar voor standaard OS-beveiliging, omdat EDR- en antivirusprogramma's zich richten op processen, binaire bestanden en bestanden op het besturingssysteem – ze inspecteren over het algemeen geen Java-klassen en PL/SQL-wrappers die in Oracle zijn opgeslagen .
De khunt-toolkit bevatte de volgende componenten, elk opgeslagen als een databaseobject:
Component
Functie
KhuntCmd
Laadt cmd.exe en voert willekeurige OS-commando's uit door ze in SQL-instructies te verwerken die naar de database worden gestuurd
KhuntHash
Haalt gebruikersnamen en wachtwoordhashes op uit de interne gebruikerstabellen van Oracle en slaat ze op in een bestand
KhuntFS / KhuntFS2
Bestandsverkenner voor het weergeven, lezen, doorzoeken en controleren van bestandsgroottes op het gecompromitteerde systeem
KhuntT
Een eenvoudige 'ping'-tool om te bevestigen dat de toolkit is geïnstalleerd en bereikbaar is voordat verder wordt gegaan
KhuntUnzip
Hulpprogramma voor het uitpakken van bestanden
khunt_ PL/SQL-wrappers*
PL/SQL-wrapperprocedures die worden gebruikt om de onderliggende Java-methoden aan te roepen
Volledige systeemcontrole bereiken: van database naar Windows-besturingssysteem
De aanvallers bleven niet steken op databaseniveau. Ze gebruikten de khunt-toolkit om in een meerstappenproces van de databaselaag naar het onderliggende Windows-besturingssysteem te gaan:
OS-commando-uitvoering via KhuntCmd: Ze gebruikten de KhuntCmd-module om cmd.exe /c whoami uit te voeren, waarmee werd bevestigd dat ze met SYSTEM-rechten op de Windows-server draaiden. Dit gaf hen externe code-uitvoering (RCE) van de database naar het OS .
Diefstal van inloggegevens: Ze gebruikten PowerShell om reg.exe aan te roepen en de SECURITY- en SYSTEM-register-hives te kopiëren, opgeslagen als khuntSECURITY.hiv en khuntSYSTEM.hiv in F:\Oracle\.
Service-inventarisatie: Ze voerden tasklist /svc uit en sloegen de uitvoer op als khunttasks.txt.
Extra hive-extractie: Ze gebruikten esentutl.exe om de SAM en een tweede kopie van de SECURITY-hives te kopiëren, opgeslagen als khuntSAM.hiv en khunt_SECURITY.hiv.
De geëxfiltreerde register-hives konden offline worden gebruikt om wachtwoordhashes voor alle lokale accounts op het systeem te extraheren en te decoderen .
Blinde vlekken in de verdediging: belangrijkste bevindingen van Huntress
Het onderzoek van Huntress bracht verschillende kritieke blinde vlekken aan het licht die deze aanval mogelijk maakten:
Database als bruggenhoofd: De database werd omgevormd van een passieve gegevensopslag naar een actief aanvalsplatform, waarbij de kwaadaardige toolkit in de database leefde in plaats van op de schijf of in het geheugen .
EDR/AV-ontwijking: Traditionele EDR- en antivirusprogramma's inspecteren over het algemeen geen Java-klassen en PL/SQL-wrappers die in Oracle zijn opgeslagen, waardoor de toolkit onzichtbaar was voor standaard OS-beveiliging .
Klassiek lek, nieuwe aanpak: De eerste SQL-injectie was een bekende fout. Er was geen zero-day voor nodig. Het automatische aanvulveld was genoeg om PL/SQL en vervolgens het OS te bereiken, wat laat zien dat basisinvoervalidatiefouten kunnen leiden tot diepgaande compromittering als de database-engine OS-mogelijkheden heeft .
Overbemande database-accounts: Zelfs na een succesvolle SQL-injectie is de schade beperkt als het database-account geen rechten heeft om Java-bronnen te schrijven of opgeslagen procedures uit te voeren. Organisaties kennen database-accounts vaak te veel rechten toe, waardoor aanvallers de extra machtigingen krijgen die nodig zijn om khunt te implementeren .
Maatregelen aanbevolen door Huntress
Op basis van deze aanval beval Huntress de volgende maatregelen aan :
Grondige invoervalidatie en parameterisatie van query's voor alle webinvoer
Beperken van database-accountrechten, zodat zelfs geïnjecteerde query's geen Java-bronnen kunnen maken of willekeurige opgeslagen procedures kunnen uitvoeren
Uitbreiden van de bewakingsscope naar database-objecten (Java-klassen, PL/SQL-wrappers) in plaats van alleen OS-niveau-artefacten
Deze aanval dient als een duidelijke herinnering dat database-engines met ingebouwde programmeeromgevingen (zoals Oracle's JVM) stille aanvalsplatforms kunnen worden wanneer ze worden gecombineerd met slechts één ongevalideerd invoerveld. Beveiligingsteams moeten hun bewaking uitbreiden tot voorbij het besturingssysteem en ook de databaselaag in de gaten houden.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
