Взлом через автодополнение: хакеры спрятали целый арсенал Khunt внутри Oracle
В июле 2026 года Huntress обнаружила SQL инъекцию, где злоумышленники использовали уязвимость в публичном Java/Tomcat приложении для внедрения пост эксплойт инструментария 'khunt' как Java схемных объектов в Oracle. Инструментарий включал модули для выполнения команд (KhuntCmd), извлечения хэшей (KhuntHash), работы...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
В июле 2026 года Huntress обнаружила SQL инъекцию, где злоумышленники использовали уязвимость в публичном Java/Tomcat приложении для внедрения пост эксплойт инструментария 'khunt' как Java схемных объектов в Oracle.
Инструментарий включал модули для выполнения команд (KhuntCmd), извлечения хэшей (KhuntHash), работы с файлами (KhuntFS/FS2) и другие, что в итоге дало атакующим полный доступ к системе Windows на уровне SYSTEM.
Huntress выявила критические слепые зоны: EDR и антивирусы не проверяют Java классы и PL/SQL обертки внутри Oracle, а избыточные привилегии учётных записей БД сделали атаку возможной.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
27 июля 2026 года платформа безопасности Huntress зафиксировала подозрительную активность, связанную с кражей учётных данных на сервере с базой данных Oracle . Расследование показало, что атака началась с SQL-инъекции — уязвимости, известной десятилетиями, но реализованной с необычной финальной стадией. Вместо того чтобы размещать вредоносные файлы на диске, хакеры использовали встроенную Java Virtual Machine (JVM) Oracle и оператор CREATE JAVA SOURCE для компиляции и хранения целого пост-эксплойт-инструментария под названием "khunt" в виде Java-объектов прямо внутри базы данных . Это позволило обойти традиционные системы EDR и антивирусы, которые не анализируют объекты БД. В дальнейшем атакующие перешли на операционную систему Windows, получили полный доступ уровня SYSTEM, извлекли кусты реестра с хэшами паролей и выгрузили их . Инфраструктура злоумышленников отслежена до IP-адреса 178.162.151[.]229 .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Взлом через автодополнение: хакеры спрятали целый арсенал Khunt внутри Oracle»?
В июле 2026 года Huntress обнаружила SQL инъекцию, где злоумышленники использовали уязвимость в публичном Java/Tomcat приложении для внедрения пост эксплойт инструментария 'khunt' как Java схемных объектов в Oracle.
Какие ключевые моменты необходимо проверить в первую очередь?
В июле 2026 года Huntress обнаружила SQL инъекцию, где злоумышленники использовали уязвимость в публичном Java/Tomcat приложении для внедрения пост эксплойт инструментария 'khunt' как Java схемных объектов в Oracle. Инструментарий включал модули для выполнения команд (KhuntCmd), извлечения хэшей (KhuntHash), работы с файлами (KhuntFS/FS2) и другие, что в итоге дало атакующим полный доступ к системе Windows на уровне SYSTEM.
Что мне делать дальше на практике?
Huntress выявила критические слепые зоны: EDR и антивирусы не проверяют Java классы и PL/SQL обертки внутри Oracle, а избыточные привилегии учётных записей БД сделали атаку возможной.
Взлом через автодополнение: хакеры спрятали целый арсенал Khunt внутри Oracle
В июле 2026 года Huntress обнаружила SQL инъекцию, где злоумышленники использовали уязвимость в публичном Java/Tomcat приложении для внедрения пост эксплойт инструментария 'khunt' как Java схемных объектов в Oracle. Инструментарий включал модули для выполнения команд (KhuntCmd), извлечения хэшей (KhuntHash), работы...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
В июле 2026 года Huntress обнаружила SQL инъекцию, где злоумышленники использовали уязвимость в публичном Java/Tomcat приложении для внедрения пост эксплойт инструментария 'khunt' как Java схемных объектов в Oracle.
Инструментарий включал модули для выполнения команд (KhuntCmd), извлечения хэшей (KhuntHash), работы с файлами (KhuntFS/FS2) и другие, что в итоге дало атакующим полный доступ к системе Windows на уровне SYSTEM.
Huntress выявила критические слепые зоны: EDR и антивирусы не проверяют Java классы и PL/SQL обертки внутри Oracle, а избыточные привилегии учётных записей БД сделали атаку возможной.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
27 июля 2026 года платформа безопасности Huntress зафиксировала подозрительную активность, связанную с кражей учётных данных на сервере с базой данных Oracle . Расследование показало, что атака началась с SQL-инъекции — уязвимости, известной десятилетиями, но реализованной с необычной финальной стадией. Вместо того чтобы размещать вредоносные файлы на диске, хакеры использовали встроенную Java Virtual Machine (JVM) Oracle и оператор CREATE JAVA SOURCE для компиляции и хранения целого пост-эксплойт-инструментария под названием "khunt" в виде Java-объектов прямо внутри базы данных . Это позволило обойти традиционные системы EDR и антивирусы, которые не анализируют объекты БД. В дальнейшем атакующие перешли на операционную систему Windows, получили полный доступ уровня SYSTEM, извлекли кусты реестра с хэшами паролей и выгрузили их . Инфраструктура злоумышленников отслежена до IP-адреса 178.162.151[.]229 .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Взлом через автодополнение: хакеры спрятали целый арсенал Khunt внутри Oracle»?
В июле 2026 года Huntress обнаружила SQL инъекцию, где злоумышленники использовали уязвимость в публичном Java/Tomcat приложении для внедрения пост эксплойт инструментария 'khunt' как Java схемных объектов в Oracle.
Какие ключевые моменты необходимо проверить в первую очередь?
В июле 2026 года Huntress обнаружила SQL инъекцию, где злоумышленники использовали уязвимость в публичном Java/Tomcat приложении для внедрения пост эксплойт инструментария 'khunt' как Java схемных объектов в Oracle. Инструментарий включал модули для выполнения команд (KhuntCmd), извлечения хэшей (KhuntHash), работы с файлами (KhuntFS/FS2) и другие, что в итоге дало атакующим полный доступ к системе Windows на уровне SYSTEM.
Что мне делать дальше на практике?
Huntress выявила критические слепые зоны: EDR и антивирусы не проверяют Java классы и PL/SQL обертки внутри Oracle, а избыточные привилегии учётных записей БД сделали атаку возможной.
Как работала атака: SQL-инъекция через строку поиска с автодополнением
Точкой входа стала уязвимость SQL-инъекции в публичном Java-приложении, запущенном на Apache Tomcat . Функция автодополнения в строке поиска не фильтровала пользовательский ввод, что позволило атакующим внедрять SQL-команды через JDBC-соединение с базой данных Oracle . Как отмечают исследователи Huntress, это не новый класс уязвимостей — SQL-инъекции существуют десятилетиями и обычно являются результатом некорректной обработки пользовательских данных, направляемых к SQL-серверу . Простая неспособность приложения очистить поле поиска запустила цепочку компрометации.
Инструментарий Khunt: жизнь внутри базы данных как Java-объектов
Вместо развертывания традиционных файлов вредоносного ПО на скомпрометированном сервере атакующие использовали встроенную JVM Oracle и оператор CREATE JAVA SOURCE для компиляции и хранения всего пост-эксплойт-инструментария в виде Java-объектов схемы внутри базы данных Oracle . Этот подход сделал инструментарий невидимым для стандартных защит уровня ОС, так как EDR и антивирусы ориентируются на процессы, бинарные файлы и файлы на операционной системе — они, как правило, не проверяют Java-классы и PL/SQL-обертки, хранящиеся внутри Oracle .
Инструментарий khunt включал следующие компоненты, каждый из которых хранился как объект базы данных:
Компонент
Функция
KhuntCmd
Загружает cmd.exe и выполняет произвольные команды ОС, встраивая их в SQL-запросы
KhuntHash
Извлекает имена пользователей и хэши паролей из внутренних таблиц Oracle и сохраняет в файл
KhuntFS / KhuntFS2
Файловые менеджеры для просмотра, чтения, поиска и проверки размера файлов
KhuntT
Простой инструмент "ping" для проверки установки и доступности инструментария
KhuntUnzip
Утилита для распаковки файлов
khunt_* PL/SQL-обертки
Процедуры-обертки PL/SQL для вызова соответствующих Java-методов
Полный контроль над системой: от базы данных до Windows OS
Атакующие не ограничились доступом к БД. Они использовали инструментарий khunt для перехода от уровня базы данных к операционной системе Windows в несколько шагов:
Выполнение команд ОС через KhuntCmd: с помощью модуля KhuntCmd они выполнили cmd.exe /c whoami, что подтвердило наличие привилегий SYSTEM на сервере Windows, установив удаленное выполнение кода (RCE) от БД к ОС .
Кража учётных данных: с помощью PowerShell они вызвали reg.exe и скопировали кусты реестра SECURITY и SYSTEM, сохранив их как khuntSECURITY.hiv и khuntSYSTEM.hiv в F:\Oracle\.
Перечень служб: выполнили tasklist /svc и сохранили вывод как khunttasks.txt.
Дополнительное извлечение кустов: использовали esentutl.exe для копирования SAM и второй копии SECURITY, сохранив их как khuntSAM.hiv и khunt_SECURITY.hiv.
Извлеченные кусты реестра могут быть использованы офлайн для извлечения и декодирования хэшей паролей всех локальных учётных записей .
Слепые зоны защиты: ключевые выводы Huntress
Расследование Huntress выявило несколько критических слепых зон, позволивших атаке пройти незамеченной:
База данных как плацдарм: БД превратилась из пассивного хранилища данных в активную атакующую платформу, где вредоносный инструментарий живет внутри базы данных, а не на диске или в памяти .
Обход EDR/AV: Традиционные системы EDR и антивирусы не проверяют Java-классы и PL/SQL-обертки внутри Oracle, что делает инструментарий невидимым для стандартных защит ОС .
Классическая уязвимость, необычная доставка: начальная SQL-инъекция — известный класс багов. Не потребовалось ни одного zero-day. Функции автодополнения было достаточно, чтобы добраться до PL/SQL и операционной системы — базовый сбой проверки ввода приводит к глубокой компрометации, если движок БД имеет доступ к ОС .
Избыточные привилегии учётных записей БД: даже после успешной SQL-инъекции ущерб ограничен, если учётная запись пользователя БД не имеет прав на создание Java-источников или выполнение хранимых процедур. Организации часто предоставляют избыточные привилегии, что дает атакующим дополнительные разрешения для развертывания khunt .
Меры защиты, рекомендованные Huntress
Основываясь на этой атаке, Huntress рекомендует :
Корректная санитизация ввода и параметризация запросов для всех веб-входов.
Ограничение привилегий пользователей БД, чтобы даже внедренные запросы не могли создавать Java-источники или выполнять произвольные хранимые процедуры.
Расширение мониторинга на объекты БД (Java-классы, PL/SQL-обертки), а не только артефакты уровня ОС.
Эта атака служит суровым напоминанием: движки баз данных со встроенными средами программирования (как JVM Oracle) могут стать незаметными атакующими платформами, если их сочетать с единственным непроверенным полем ввода. Командам безопасности необходимо расширять мониторинг за пределы ОС, включая слой объектов базы данных.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
Как работала атака: SQL-инъекция через строку поиска с автодополнением
Точкой входа стала уязвимость SQL-инъекции в публичном Java-приложении, запущенном на Apache Tomcat . Функция автодополнения в строке поиска не фильтровала пользовательский ввод, что позволило атакующим внедрять SQL-команды через JDBC-соединение с базой данных Oracle . Как отмечают исследователи Huntress, это не новый класс уязвимостей — SQL-инъекции существуют десятилетиями и обычно являются результатом некорректной обработки пользовательских данных, направляемых к SQL-серверу . Простая неспособность приложения очистить поле поиска запустила цепочку компрометации.
Инструментарий Khunt: жизнь внутри базы данных как Java-объектов
Вместо развертывания традиционных файлов вредоносного ПО на скомпрометированном сервере атакующие использовали встроенную JVM Oracle и оператор CREATE JAVA SOURCE для компиляции и хранения всего пост-эксплойт-инструментария в виде Java-объектов схемы внутри базы данных Oracle . Этот подход сделал инструментарий невидимым для стандартных защит уровня ОС, так как EDR и антивирусы ориентируются на процессы, бинарные файлы и файлы на операционной системе — они, как правило, не проверяют Java-классы и PL/SQL-обертки, хранящиеся внутри Oracle .
Инструментарий khunt включал следующие компоненты, каждый из которых хранился как объект базы данных:
Компонент
Функция
KhuntCmd
Загружает cmd.exe и выполняет произвольные команды ОС, встраивая их в SQL-запросы
KhuntHash
Извлекает имена пользователей и хэши паролей из внутренних таблиц Oracle и сохраняет в файл
KhuntFS / KhuntFS2
Файловые менеджеры для просмотра, чтения, поиска и проверки размера файлов
KhuntT
Простой инструмент "ping" для проверки установки и доступности инструментария
KhuntUnzip
Утилита для распаковки файлов
khunt_* PL/SQL-обертки
Процедуры-обертки PL/SQL для вызова соответствующих Java-методов
Полный контроль над системой: от базы данных до Windows OS
Атакующие не ограничились доступом к БД. Они использовали инструментарий khunt для перехода от уровня базы данных к операционной системе Windows в несколько шагов:
Выполнение команд ОС через KhuntCmd: с помощью модуля KhuntCmd они выполнили cmd.exe /c whoami, что подтвердило наличие привилегий SYSTEM на сервере Windows, установив удаленное выполнение кода (RCE) от БД к ОС .
Кража учётных данных: с помощью PowerShell они вызвали reg.exe и скопировали кусты реестра SECURITY и SYSTEM, сохранив их как khuntSECURITY.hiv и khuntSYSTEM.hiv в F:\Oracle\.
Перечень служб: выполнили tasklist /svc и сохранили вывод как khunttasks.txt.
Дополнительное извлечение кустов: использовали esentutl.exe для копирования SAM и второй копии SECURITY, сохранив их как khuntSAM.hiv и khunt_SECURITY.hiv.
Извлеченные кусты реестра могут быть использованы офлайн для извлечения и декодирования хэшей паролей всех локальных учётных записей .
Слепые зоны защиты: ключевые выводы Huntress
Расследование Huntress выявило несколько критических слепых зон, позволивших атаке пройти незамеченной:
База данных как плацдарм: БД превратилась из пассивного хранилища данных в активную атакующую платформу, где вредоносный инструментарий живет внутри базы данных, а не на диске или в памяти .
Обход EDR/AV: Традиционные системы EDR и антивирусы не проверяют Java-классы и PL/SQL-обертки внутри Oracle, что делает инструментарий невидимым для стандартных защит ОС .
Классическая уязвимость, необычная доставка: начальная SQL-инъекция — известный класс багов. Не потребовалось ни одного zero-day. Функции автодополнения было достаточно, чтобы добраться до PL/SQL и операционной системы — базовый сбой проверки ввода приводит к глубокой компрометации, если движок БД имеет доступ к ОС .
Избыточные привилегии учётных записей БД: даже после успешной SQL-инъекции ущерб ограничен, если учётная запись пользователя БД не имеет прав на создание Java-источников или выполнение хранимых процедур. Организации часто предоставляют избыточные привилегии, что дает атакующим дополнительные разрешения для развертывания khunt .
Меры защиты, рекомендованные Huntress
Основываясь на этой атаке, Huntress рекомендует :
Корректная санитизация ввода и параметризация запросов для всех веб-входов.
Ограничение привилегий пользователей БД, чтобы даже внедренные запросы не могли создавать Java-источники или выполнять произвольные хранимые процедуры.
Расширение мониторинга на объекты БД (Java-классы, PL/SQL-обертки), а не только артефакты уровня ОС.
Эта атака служит суровым напоминанием: движки баз данных со встроенными средами программирования (как JVM Oracle) могут стать незаметными атакующими платформами, если их сочетать с единственным непроверенным полем ввода. Командам безопасности необходимо расширять мониторинг за пределы ОС, включая слой объектов базы данных.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
