Khunt-attacken: När en Oracle-databas blev en osynlig post-exploateringsplattform
I juli 2026 upptäckte Huntress en SQL injektionsattack där hotaktörer utnyttjade en publik Java/Tomcat app för att lagra hela "Khunt" verktygslådan som Java schemaobjekt i en Oracle databas. Verktygslådan innehöll komponenter för kommandokörning (KhuntCmd), hash extrahering (KhuntHash), filutforskning (KhuntFS/FS2)...
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
I juli 2026 upptäckte Huntress en SQL injektionsattack där hotaktörer utnyttjade en publik Java/Tomcat app för att lagra hela "Khunt" verktygslådan som Java schemaobjekt i en Oracle databas.
Verktygslådan innehöll komponenter för kommandokörning (KhuntCmd), hash extrahering (KhuntHash), filutforskning (KhuntFS/FS2) och mer – vilket gav angriparna SYSTEM behörighet på den underliggande Windows servern.
Huntress påpekade kritiska försvarsblinda fläckar: EDR och antivirusverktyg inspekterar inte Oracles Java klasser och PL/SQL omslag, och överprivilegierade databaskonton möjliggjorde attacken.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Den 27 juli 2026 larmades säkerhetsföretaget Huntress om misstänkt kapning av inloggningsuppgifter på en server som körde en Oracle-databas . Utredningen avslöjade en sofistikerad SQL-injektionsattack – inte via en så kallad ”zero-day”, utan genom en välkänd sårbarhet i en publik Java/Tomcat-webbapplikation. Det som gjorde attacken unik var angriparnas metod: istället för att placera filer på hårddisken använde de Oracles inbyggda Java Virtual Machine (JVM) för att kompilera och lagra ett helt post-exploateringskit vid namn ”khunt” som Java-schemaobjekt inne i databasen. På så sätt undvek verktygslådan traditionella endpoint detection and response-system (EDR) och antivirusprogram, som inte granskar databasobjekt. Därifrån tog sig angriparna vidare till det underliggande Windows-operativsystemet, uppnådde full SYSTEM-nivå på servern, extraherade registerdatabaser med lösenordshashar och exfiltrerade dem offline. Huntress spårade angriparnas infrastruktur till IP-adressen 178.162.151[.]229 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Khunt-attacken: När en Oracle-databas blev en osynlig post-exploateringsplattform"?
I juli 2026 upptäckte Huntress en SQL injektionsattack där hotaktörer utnyttjade en publik Java/Tomcat app för att lagra hela "Khunt" verktygslådan som Java schemaobjekt i en Oracle databas.
What are the key points to validate first?
I juli 2026 upptäckte Huntress en SQL injektionsattack där hotaktörer utnyttjade en publik Java/Tomcat app för att lagra hela "Khunt" verktygslådan som Java schemaobjekt i en Oracle databas. Verktygslådan innehöll komponenter för kommandokörning (KhuntCmd), hash extrahering (KhuntHash), filutforskning (KhuntFS/FS2) och mer – vilket gav angriparna SYSTEM behörighet på den underliggande Windows servern.
What should I do next in practice?
Huntress påpekade kritiska försvarsblinda fläckar: EDR och antivirusverktyg inspekterar inte Oracles Java klasser och PL/SQL omslag, och överprivilegierade databaskonton möjliggjorde attacken.
Khunt-attacken: När en Oracle-databas blev en osynlig post-exploateringsplattform
I juli 2026 upptäckte Huntress en SQL injektionsattack där hotaktörer utnyttjade en publik Java/Tomcat app för att lagra hela "Khunt" verktygslådan som Java schemaobjekt i en Oracle databas. Verktygslådan innehöll komponenter för kommandokörning (KhuntCmd), hash extrahering (KhuntHash), filutforskning (KhuntFS/FS2)...
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
I juli 2026 upptäckte Huntress en SQL injektionsattack där hotaktörer utnyttjade en publik Java/Tomcat app för att lagra hela "Khunt" verktygslådan som Java schemaobjekt i en Oracle databas.
Verktygslådan innehöll komponenter för kommandokörning (KhuntCmd), hash extrahering (KhuntHash), filutforskning (KhuntFS/FS2) och mer – vilket gav angriparna SYSTEM behörighet på den underliggande Windows servern.
Huntress påpekade kritiska försvarsblinda fläckar: EDR och antivirusverktyg inspekterar inte Oracles Java klasser och PL/SQL omslag, och överprivilegierade databaskonton möjliggjorde attacken.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Den 27 juli 2026 larmades säkerhetsföretaget Huntress om misstänkt kapning av inloggningsuppgifter på en server som körde en Oracle-databas . Utredningen avslöjade en sofistikerad SQL-injektionsattack – inte via en så kallad ”zero-day”, utan genom en välkänd sårbarhet i en publik Java/Tomcat-webbapplikation. Det som gjorde attacken unik var angriparnas metod: istället för att placera filer på hårddisken använde de Oracles inbyggda Java Virtual Machine (JVM) för att kompilera och lagra ett helt post-exploateringskit vid namn ”khunt” som Java-schemaobjekt inne i databasen. På så sätt undvek verktygslådan traditionella endpoint detection and response-system (EDR) och antivirusprogram, som inte granskar databasobjekt. Därifrån tog sig angriparna vidare till det underliggande Windows-operativsystemet, uppnådde full SYSTEM-nivå på servern, extraherade registerdatabaser med lösenordshashar och exfiltrerade dem offline. Huntress spårade angriparnas infrastruktur till IP-adressen 178.162.151[.]229 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Khunt-attacken: När en Oracle-databas blev en osynlig post-exploateringsplattform"?
I juli 2026 upptäckte Huntress en SQL injektionsattack där hotaktörer utnyttjade en publik Java/Tomcat app för att lagra hela "Khunt" verktygslådan som Java schemaobjekt i en Oracle databas.
What are the key points to validate first?
I juli 2026 upptäckte Huntress en SQL injektionsattack där hotaktörer utnyttjade en publik Java/Tomcat app för att lagra hela "Khunt" verktygslådan som Java schemaobjekt i en Oracle databas. Verktygslådan innehöll komponenter för kommandokörning (KhuntCmd), hash extrahering (KhuntHash), filutforskning (KhuntFS/FS2) och mer – vilket gav angriparna SYSTEM behörighet på den underliggande Windows servern.
What should I do next in practice?
Huntress påpekade kritiska försvarsblinda fläckar: EDR och antivirusverktyg inspekterar inte Oracles Java klasser och PL/SQL omslag, och överprivilegierade databaskonton möjliggjorde attacken.
Hur attacken gick till: SQL-injektion via en autocomplete-sökning
Den initiala åtkomsten skedde genom en SQL-injektionssårbarhet i en publik Java-applikation som kördes på Apache Tomcat . Applikationens autocomplete-sökfunktion validerade inte användarens indata korrekt, vilket gjorde det möjligt för angriparna att injicera SQL-kommandon via en JDBC-anslutning till Oracle-databasen . Som Huntress forskare påpekade var detta ingen ny sårbarhet – SQL-injektioner har funnits i decennier och beror oftast på bristfällig hantering av användarindata som skickas till SQL-servern . Det räckte med att applikationen inte rensade ett enkelt sökfält för att hela kedjan skulle starta.
Khunt-verktygslådan: Inbäddad i databasen som Java-objekt
Istället för att distribuera traditionell skadlig kod som filer på den komprometterade servern använde angriparna Oracles inbyggda JVM och satsen CREATE JAVA SOURCE för att kompilera och lagra hela post-exploateringssatsen som Java-schemaobjekt inne i Oracle-databasen . Denna metod gjorde verktygslådan osynlig för vanliga OS-försvar, eftersom EDR- och antivirusverktyg fokuserar på processer, binärfiler och filer på operativsystemet – de inspekterar i allmänhet inte Java-klasser och PL/SQL-omslag som lagras i Oracle .
Khunt-verktygslådan innehöll följande komponenter, var och en lagrad som ett databasobjekt:
Komponent
Funktion
KhuntCmd
Laddar cmd.exe och kör godtyckliga OS-kommandon genom att bädda in dem i SQL-satser som skickas till databasen
KhuntHash
Extraherar användarnamn och lösenordshashar från Oracles interna användartabeller och sparar dem i en fil
KhuntFS / KhuntFS2
Filutforskare för att lista, läsa, söka och kontrollera filstorlekar på det komprometterade systemet
KhuntT
Ett enkelt ”ping”-verktyg för att bekräfta att verktygslådan är installerad och nåbar innan man fortsätter
KhuntUnzip
Verktyg för att packa upp zip-filer
khunt_ PL/SQL-omslag*
PL/SQL-omslagsprocedurer som används för att anropa de underliggande Java-metoderna
Full systemkontroll: Från databas till Windows OS
Angriparna nöjde sig inte med databasnivån. De använde Khunt-verktygslådan för att ta sig från databasen till det underliggande Windows-operativsystemet i flera steg:
OS-kommandokörning via KhuntCmd: De använde KhuntCmd-modulen för att köra cmd.exe /c whoami, vilket bekräftade att de körde med SYSTEM-behörighet på Windows-servern – de hade alltså uppnått fjärrkodexekvering (RCE) från databasen till operativsystemet .
Kapning av inloggningsuppgifter: De använde PowerShell för att anropa reg.exe och kopiera registerdatabaserna SECURITY och SYSTEM, som sparades som khuntSECURITY.hiv och khuntSYSTEM.hiv i F:\Oracle\.
Tjänsteidentifiering: De körde tasklist /svc och sparade resultatet som khunttasks.txt.
Extrahering av ytterligare registerfiler: De använde esentutl.exe för att kopiera SAM och en andra kopia av SECURITY, sparade som khuntSAM.hiv och khunt_SECURITY.hiv.
De exfiltrerade registerfilerna kunde användas offline för att extrahera och dekoda lösenordshashar för alla lokala konton på systemet .
Försvarsblinda fläckar: Huntress viktigaste rön
Huntress utredning avslöjade flera kritiska blinda fläckar som gjorde attacken möjlig och svår att upptäcka:
Databas som brohuvud: Databasen omvandlades från en passiv datalagringsplats till en aktiv attackplattform, där den skadliga verktygslådan levde inne i databasen istället för på disk eller i minnet .
EDR/AV-kringgående: Traditionella EDR- och antivirusverktyg inspekterar i allmänhet inte Java-klasser och PL/SQL-omslag som lagras i Oracle, vilket gjorde verktygslådan osynlig för vanliga OS-försvar .
Klassisk sårbarhet, ny leveransmetod: Den initiala SQL-injektionen var en välkänd sårbarhetstyp. Ingen ”zero-day” behövdes. Autocomplete-sökfunktionen räckte för att nå PL/SQL och sedan operativsystemet – vilket visar att grundläggande brister i indatavalidering kan leda till djup kompromettering när databasmotorn har OS-nivå-funktioner .
Överprivilegierade databaskonton: Även efter en lyckad SQL-injektion är skadan begränsad om databasanvändarkontot saknar behörighet att skapa Java-källor eller köra lagrade procedurer. Organisationer ger ofta databaskonton för mycket behörighet, vilket gav angriparna de extra rättigheter som krävdes för att distribuera Khunt .
Åtgärder som rekommenderas av Huntress
Baserat på attacken rekommenderade Huntress följande åtgärder :
Korrekt rensning av indata och parameterisering av alla webbinmatningar
Begränsning av databasanvändares behörigheter så att även injicerade frågor inte kan skapa Java-källor eller köra godtyckliga lagrade procedurer
Utöka övervakningen till att omfatta databasobjekt (Java-klasser, PL/SQL-omslag) istället för bara OS-nivå-artefakter
Denna attack fungerar som en skarp påminnelse om att databasmotorer med inbyggda programmeringsmiljöer (som Oracles JVM) kan bli smygande attackplattformar om de kombineras med en enda orensad indata. Säkerhetsteam måste utöka sin övervakning bortom operativsystemet till att även omfatta databasobjektlagret.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
Hur attacken gick till: SQL-injektion via en autocomplete-sökning
Den initiala åtkomsten skedde genom en SQL-injektionssårbarhet i en publik Java-applikation som kördes på Apache Tomcat . Applikationens autocomplete-sökfunktion validerade inte användarens indata korrekt, vilket gjorde det möjligt för angriparna att injicera SQL-kommandon via en JDBC-anslutning till Oracle-databasen . Som Huntress forskare påpekade var detta ingen ny sårbarhet – SQL-injektioner har funnits i decennier och beror oftast på bristfällig hantering av användarindata som skickas till SQL-servern . Det räckte med att applikationen inte rensade ett enkelt sökfält för att hela kedjan skulle starta.
Khunt-verktygslådan: Inbäddad i databasen som Java-objekt
Istället för att distribuera traditionell skadlig kod som filer på den komprometterade servern använde angriparna Oracles inbyggda JVM och satsen CREATE JAVA SOURCE för att kompilera och lagra hela post-exploateringssatsen som Java-schemaobjekt inne i Oracle-databasen . Denna metod gjorde verktygslådan osynlig för vanliga OS-försvar, eftersom EDR- och antivirusverktyg fokuserar på processer, binärfiler och filer på operativsystemet – de inspekterar i allmänhet inte Java-klasser och PL/SQL-omslag som lagras i Oracle .
Khunt-verktygslådan innehöll följande komponenter, var och en lagrad som ett databasobjekt:
Komponent
Funktion
KhuntCmd
Laddar cmd.exe och kör godtyckliga OS-kommandon genom att bädda in dem i SQL-satser som skickas till databasen
KhuntHash
Extraherar användarnamn och lösenordshashar från Oracles interna användartabeller och sparar dem i en fil
KhuntFS / KhuntFS2
Filutforskare för att lista, läsa, söka och kontrollera filstorlekar på det komprometterade systemet
KhuntT
Ett enkelt ”ping”-verktyg för att bekräfta att verktygslådan är installerad och nåbar innan man fortsätter
KhuntUnzip
Verktyg för att packa upp zip-filer
khunt_ PL/SQL-omslag*
PL/SQL-omslagsprocedurer som används för att anropa de underliggande Java-metoderna
Full systemkontroll: Från databas till Windows OS
Angriparna nöjde sig inte med databasnivån. De använde Khunt-verktygslådan för att ta sig från databasen till det underliggande Windows-operativsystemet i flera steg:
OS-kommandokörning via KhuntCmd: De använde KhuntCmd-modulen för att köra cmd.exe /c whoami, vilket bekräftade att de körde med SYSTEM-behörighet på Windows-servern – de hade alltså uppnått fjärrkodexekvering (RCE) från databasen till operativsystemet .
Kapning av inloggningsuppgifter: De använde PowerShell för att anropa reg.exe och kopiera registerdatabaserna SECURITY och SYSTEM, som sparades som khuntSECURITY.hiv och khuntSYSTEM.hiv i F:\Oracle\.
Tjänsteidentifiering: De körde tasklist /svc och sparade resultatet som khunttasks.txt.
Extrahering av ytterligare registerfiler: De använde esentutl.exe för att kopiera SAM och en andra kopia av SECURITY, sparade som khuntSAM.hiv och khunt_SECURITY.hiv.
De exfiltrerade registerfilerna kunde användas offline för att extrahera och dekoda lösenordshashar för alla lokala konton på systemet .
Försvarsblinda fläckar: Huntress viktigaste rön
Huntress utredning avslöjade flera kritiska blinda fläckar som gjorde attacken möjlig och svår att upptäcka:
Databas som brohuvud: Databasen omvandlades från en passiv datalagringsplats till en aktiv attackplattform, där den skadliga verktygslådan levde inne i databasen istället för på disk eller i minnet .
EDR/AV-kringgående: Traditionella EDR- och antivirusverktyg inspekterar i allmänhet inte Java-klasser och PL/SQL-omslag som lagras i Oracle, vilket gjorde verktygslådan osynlig för vanliga OS-försvar .
Klassisk sårbarhet, ny leveransmetod: Den initiala SQL-injektionen var en välkänd sårbarhetstyp. Ingen ”zero-day” behövdes. Autocomplete-sökfunktionen räckte för att nå PL/SQL och sedan operativsystemet – vilket visar att grundläggande brister i indatavalidering kan leda till djup kompromettering när databasmotorn har OS-nivå-funktioner .
Överprivilegierade databaskonton: Även efter en lyckad SQL-injektion är skadan begränsad om databasanvändarkontot saknar behörighet att skapa Java-källor eller köra lagrade procedurer. Organisationer ger ofta databaskonton för mycket behörighet, vilket gav angriparna de extra rättigheter som krävdes för att distribuera Khunt .
Åtgärder som rekommenderas av Huntress
Baserat på attacken rekommenderade Huntress följande åtgärder :
Korrekt rensning av indata och parameterisering av alla webbinmatningar
Begränsning av databasanvändares behörigheter så att även injicerade frågor inte kan skapa Java-källor eller köra godtyckliga lagrade procedurer
Utöka övervakningen till att omfatta databasobjekt (Java-klasser, PL/SQL-omslag) istället för bara OS-nivå-artefakter
Denna attack fungerar som en skarp påminnelse om att databasmotorer med inbyggda programmeringsmiljöer (som Oracles JVM) kan bli smygande attackplattformar om de kombineras med en enda orensad indata. Säkerhetsteam måste utöka sin övervakning bortom operativsystemet till att även omfatta databasobjektlagret.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
