O Toolkit Khunt: Vivendo Dentro do Banco de Dados como Objetos Java

Em vez de implantar arquivos de malware tradicionais no servidor comprometido, os invasores usaram a JVM embutida do Oracle e a instrução CREATE JAVA SOURCE para compilar e armazenar todo o toolkit de pós-exploração como objetos de esquema Java dentro do banco de dados Oracle . Essa abordagem tornou o toolkit invisível para as defesas padrão do sistema operacional, pois as ferramentas de EDR e antivírus focam em processos, binários e arquivos no sistema operacional — elas geralmente não inspecionam classes Java e wrappers PL/SQL armazenados dentro do Oracle .

O toolkit khunt incluía estes componentes, cada um armazenado como um objeto de banco de dados:

Obtendo Controle Total do Sistema: Do Banco de Dados ao Windows

Os invasores não pararam no nível de acesso ao banco de dados. Eles usaram o toolkit khunt para migrar da camada do banco de dados para o sistema operacional Windows subjacente em um processo de várias etapas:

1. Execução de comandos do SO via KhuntCmd: Eles usaram o módulo KhuntCmd para executar cmd.exe /c whoami, que confirmou que estavam operando com privilégios de nível SYSTEM no servidor Windows, estabelecendo RCE do banco de dados para o sistema operacional .
2. Roubo de credenciais: Eles usaram o PowerShell para invocar o reg.exe e copiar os hives de registro SECURITY e SYSTEM, salvando-os como khuntSECURITY.hiv e khuntSYSTEM.hiv em F:\Oracle\ .
3. Enumeração de serviços: Executaram tasklist /svc e salvaram a saída como khunttasks.txt .
4. Extração adicional de hives: Usaram o esentutl.exe para copiar o SAM e uma segunda cópia do hive SECURITY, salvando-os como khuntSAM.hiv e khunt_SECURITY.hiv .

Os hives de registro exfiltrados poderiam ser usados offline para extrair e decodificar hashes de senhas para todas as contas locais no sistema .

Pontos Cegos na Defesa: Principais Descobertas da Huntress

A investigação da Huntress revelou vários pontos cegos críticos que permitiram que este ataque tivesse sucesso e evitasse a detecção:

• Banco de dados como plataforma de ataque: O banco de dados foi transformado de um armazenamento de dados passivo em uma plataforma de ataque ativa, com o toolkit malicioso vivendo dentro do banco de dados, em vez de no disco ou na memória .
• Evasão de EDR/AV: Ferramentas tradicionais de EDR e antivírus geralmente não inspecionam classes Java e wrappers PL/SQL armazenados dentro do Oracle, tornando o toolkit invisível para as defesas padrão do sistema operacional .
• Vulnerabilidade clássica, entrega inovadora: A injeção de SQL inicial era uma classe de bug bem conhecida. Nenhum dia zero foi necessário. O recurso de busca automática foi suficiente para alcançar o PL/SQL e depois o sistema operacional, mostrando que falhas básicas de validação de entrada podem levar a um comprometimento profundo quando o mecanismo de banco de dados tem capacidades em nível de sistema operacional .
• Contas de banco de dados superprivilegiadas: Mesmo após uma injeção de SQL bem-sucedida, o dano é limitado se a conta de usuário do banco de dados não tiver privilégios para criar fontes Java ou executar procedimentos armazenados. As organizações frequentemente fornecem privilégios excessivos às contas de banco de dados, dando aos invasores as permissões extras necessárias para implantar o khunt .

Mitigações Recomendadas pela Huntress

Com base neste ataque, a Huntress recomendou várias mitigações :

• Sanitização adequada de entrada e parametrização de consultas para todas as entradas da web
• Restrição dos privilégios de usuário do banco de dados para que mesmo consultas injetadas não possam criar fontes Java ou executar procedimentos armazenados arbitrários
• Expansão do escopo de monitoramento para incluir objetos de banco de dados (classes Java, wrappers PL/SQL) em vez de apenas artefatos em nível de sistema operacional

Este ataque serve como um lembrete contundente de que mecanismos de banco de dados com ambientes de programação embutidos (como a JVM do Oracle) podem se tornar plataformas de ataque furtivas quando combinados com um único campo de entrada não validado. As equipes de segurança devem estender seu monitoramento além do sistema operacional para incluir a camada de objetos do banco de dados.

O Toolkit Khunt: Vivendo Dentro do Banco de Dados como Objetos Java

Em vez de implantar arquivos de malware tradicionais no servidor comprometido, os invasores usaram a JVM embutida do Oracle e a instrução CREATE JAVA SOURCE para compilar e armazenar todo o toolkit de pós-exploração como objetos de esquema Java dentro do banco de dados Oracle . Essa abordagem tornou o toolkit invisível para as defesas padrão do sistema operacional, pois as ferramentas de EDR e antivírus focam em processos, binários e arquivos no sistema operacional — elas geralmente não inspecionam classes Java e wrappers PL/SQL armazenados dentro do Oracle .

O toolkit khunt incluía estes componentes, cada um armazenado como um objeto de banco de dados:

Obtendo Controle Total do Sistema: Do Banco de Dados ao Windows

Os invasores não pararam no nível de acesso ao banco de dados. Eles usaram o toolkit khunt para migrar da camada do banco de dados para o sistema operacional Windows subjacente em um processo de várias etapas:

1. Execução de comandos do SO via KhuntCmd: Eles usaram o módulo KhuntCmd para executar cmd.exe /c whoami, que confirmou que estavam operando com privilégios de nível SYSTEM no servidor Windows, estabelecendo RCE do banco de dados para o sistema operacional .
2. Roubo de credenciais: Eles usaram o PowerShell para invocar o reg.exe e copiar os hives de registro SECURITY e SYSTEM, salvando-os como khuntSECURITY.hiv e khuntSYSTEM.hiv em F:\Oracle\ .
3. Enumeração de serviços: Executaram tasklist /svc e salvaram a saída como khunttasks.txt .
4. Extração adicional de hives: Usaram o esentutl.exe para copiar o SAM e uma segunda cópia do hive SECURITY, salvando-os como khuntSAM.hiv e khunt_SECURITY.hiv .

Os hives de registro exfiltrados poderiam ser usados offline para extrair e decodificar hashes de senhas para todas as contas locais no sistema .

Pontos Cegos na Defesa: Principais Descobertas da Huntress

A investigação da Huntress revelou vários pontos cegos críticos que permitiram que este ataque tivesse sucesso e evitasse a detecção:

• Banco de dados como plataforma de ataque: O banco de dados foi transformado de um armazenamento de dados passivo em uma plataforma de ataque ativa, com o toolkit malicioso vivendo dentro do banco de dados, em vez de no disco ou na memória .
• Evasão de EDR/AV: Ferramentas tradicionais de EDR e antivírus geralmente não inspecionam classes Java e wrappers PL/SQL armazenados dentro do Oracle, tornando o toolkit invisível para as defesas padrão do sistema operacional .
• Vulnerabilidade clássica, entrega inovadora: A injeção de SQL inicial era uma classe de bug bem conhecida. Nenhum dia zero foi necessário. O recurso de busca automática foi suficiente para alcançar o PL/SQL e depois o sistema operacional, mostrando que falhas básicas de validação de entrada podem levar a um comprometimento profundo quando o mecanismo de banco de dados tem capacidades em nível de sistema operacional .
• Contas de banco de dados superprivilegiadas: Mesmo após uma injeção de SQL bem-sucedida, o dano é limitado se a conta de usuário do banco de dados não tiver privilégios para criar fontes Java ou executar procedimentos armazenados. As organizações frequentemente fornecem privilégios excessivos às contas de banco de dados, dando aos invasores as permissões extras necessárias para implantar o khunt .

Mitigações Recomendadas pela Huntress

Com base neste ataque, a Huntress recomendou várias mitigações :

• Sanitização adequada de entrada e parametrização de consultas para todas as entradas da web
• Restrição dos privilégios de usuário do banco de dados para que mesmo consultas injetadas não possam criar fontes Java ou executar procedimentos armazenados arbitrários
• Expansão do escopo de monitoramento para incluir objetos de banco de dados (classes Java, wrappers PL/SQL) em vez de apenas artefatos em nível de sistema operacional

Este ataque serve como um lembrete contundente de que mecanismos de banco de dados com ambientes de programação embutidos (como a JVM do Oracle) podem se tornar plataformas de ataque furtivas quando combinados com um único campo de entrada não validado. As equipes de segurança devem estender seu monitoramento além do sistema operacional para incluir a camada de objetos do banco de dados.