เจาะลึกการโจมตี Khunt: เมื่อแฮกเกอร์เปลี่ยนฐานข้อมูล Oracle ให้เป็นฐานปฏิบัติการหลังการแสวงหาประโยชน์

กลไกการโจมตี: SQL Injection ผ่านฟีเจอร์ค้นหาอัตโนมัติ

ช่องทางเริ่มต้นคือช่องโหว่ SQL injection ในแอปพลิเคชัน Java ที่รันบน Apache Tomcat ที่เปิดให้บริการสู่สาธารณะ ฟีเจอร์ค้นหาอัตโนมัติ (autocomplete) ของแอปพลิเคชันไม่สามารถตรวจสอบอินพุตจากผู้ใช้ได้อย่างถูกต้อง ทำให้ผู้โจมตีสามารถฉีดคำสั่ง SQL ผ่านการเชื่อมต่อ JDBC ไปยังฐานข้อมูล Oracle ได้ นักวิจัยของ Huntress ระบุว่า นี่ไม่ใช่ช่องโหว่ชนิดใหม่ — การโจมตีแบบ SQL injection มีมานานหลายทศวรรษแล้ว และมักเกิดจากการจัดการอินพุตของผู้ใช้ที่ส่งไปยังเซิร์ฟเวอร์ SQL ที่ไม่ถูกต้อง ความล้มเหลวของแอปพลิเคชันในการกรองช่องค้นหาง่าย ๆ ก็เพียงพอที่จะเริ่มต้นห่วงโซ่การบุกรุก

ชุดเครื่องมือ Khunt: อาศัยอยู่ในฐานข้อมูลในรูปแบบวัตถุ Java

แทนที่จะใช้ไฟล์มัลแวร์แบบดั้งเดิมบนเซิร์ฟเวอร์ที่ถูกบุกรุก ผู้โจมตีใช้ Java Virtual Machine (JVM) ที่ติดตั้งมาพร้อมกับ Oracle และคำสั่ง CREATE JAVA SOURCE เพื่อคอมไพล์และจัดเก็บชุดเครื่องมือหลังการแสวงหาประโยชน์ทั้งหมดเป็นวัตถุ Java schema ภายในฐานข้อมูล Oracle วิธีนี้ทำให้เครื่องมือมองไม่เห็นระบบป้องกันระดับ OS ทั่วไป เนื่องจากเครื่องมือ EDR และ Antivirus มุ่งเน้นไปที่กระบวนการ, ไบนารี และไฟล์บนระบบปฏิบัติการ — โดยทั่วไปแล้วจะไม่ตรวจสอบคลาส Java และ PL/SQL wrapper ที่เก็บไว้ภายใน Oracle

ชุดเครื่องมือ khunt ประกอบด้วยส่วนประกอบเหล่านี้ ซึ่งแต่ละส่วนจะถูกจัดเก็บเป็นวัตถุฐานข้อมูล:

การควบคุมระบบเต็มรูปแบบ: จากฐานข้อมูลสู่ระบบปฏิบัติการ Windows

ผู้โจมตีไม่ได้หยุดแค่การเข้าถึงระดับฐานข้อมูล พวกเขาใช้ชุดเครื่องมือ khunt เพื่อขยายขอบเขตจากชั้นฐานข้อมูลไปยังระบบปฏิบัติการ Windows ที่อยู่เบื้องหลังในหลายขั้นตอน:

1. การเรียกใช้คำสั่ง OS ผ่าน KhuntCmd: พวกเขาใช้โมดูล KhuntCmd เพื่อรัน cmd.exe /c whoami ซึ่งยืนยันว่าพวกเขากำลังทำงานด้วยสิทธิ์ SYSTEM บนเซิร์ฟเวอร์ Windows ทำให้เกิดการเรียกใช้โค้ดระยะไกล (RCE) จากฐานข้อมูลไปยัง OS
2. การขโมยข้อมูลประจำตัว: พวกเขาใช้ PowerShell เพื่อเรียก reg.exe และคัดลอกรีจิสทรี hive ของ SECURITY และ SYSTEM โดยบันทึกเป็น khuntSECURITY.hiv และ khuntSYSTEM.hiv ใน F:\Oracle\
3. การระบุบริการ: พวกเขารัน tasklist /svc และบันทึกผลลัพธ์เป็น khunttasks.txt
4. การดึง hive เพิ่มเติม: พวกเขาใช้ esentutl.exe เพื่อคัดลอก SAM และ SECURITY hive ชุดที่สอง โดยบันทึกเป็น khuntSAM.hiv และ khunt_SECURITY.hiv

รีจิสทรี hive ที่ถูกส่งออกไปสามารถใช้แบบออฟไลน์เพื่อดึงและถอดรหัสแฮชรหัสผ่านสำหรับบัญชีท้องถิ่นทั้งหมดบนระบบ

จุดบอดด้านการป้องกัน: ข้อค้นพบสำคัญของ Huntress

การสืบสวนของ Huntress เผยให้เห็นจุดบอดที่สำคัญหลายประการที่ทำให้การโจมตีครั้งนี้สำเร็จและหลบเลี่ยงการตรวจจับได้:

• การเปลี่ยนฐานข้อมูลเป็นฐานปฏิบัติการ: ฐานข้อมูลถูกเปลี่ยนจากคลังข้อมูลแบบพาสซีฟเป็นแพลตฟอร์มการโจมตีแบบแอคทีฟ โดยเครื่องมือที่เป็นอันตรายอาศัยอยู่ภายในฐานข้อมูลแทนที่จะอยู่บนดิสก์หรือในหน่วยความจำ
• การหลบเลี่ยง EDR/AV: เครื่องมือ EDR และ Antivirus แบบดั้งเดิมมักไม่ตรวจสอบคลาส Java และ PL/SQL wrapper ที่เก็บไว้ภายใน Oracle ทำให้เครื่องมือมองไม่เห็นระบบป้องกันระดับ OS มาตรฐาน
• ช่องโหว่คลาสสิก รูปแบบการส่งมอบใหม่: การโจมตี SQL injection ครั้งแรกเป็นช่องโหว่ที่รู้จักกันดี ไม่จำเป็นต้องใช้ zero-day ฟีเจอร์ค้นหาอัตโนมัติก็เพียงพอที่จะไปถึง PL/SQL และจากนั้นก็ไปยัง OS ซึ่งแสดงให้เห็นว่าความล้มเหลวในการตรวจสอบอินพุตพื้นฐานสามารถนำไปสู่การบุกรุกอย่างลึกซึ้งเมื่อเอ็นจิ้นฐานข้อมูลมีความสามารถระดับ OS
• บัญชีฐานข้อมูลที่ได้รับสิทธิ์มากเกินไป: แม้ว่า SQL injection จะสำเร็จ ความเสียหายก็จะถูกจำกัดหากบัญชีผู้ใช้ฐานข้อมูลไม่มีสิทธิ์ในการสร้าง Java source หรือเรียกใช้ stored procedure องค์กรมักจะให้สิทธิ์บัญชีฐานข้อมูลมากเกินไป ทำให้ผู้โจมตีมีสิทธิ์พิเศษที่จำเป็นในการปรับใช้ khunt

มาตรการบรรเทาผลกระทบที่ Huntress แนะนำ

จากการโจมตีครั้งนี้ Huntress แนะนำมาตรการบรรเทาผลกระทบหลายประการ :

• การตรวจสอบอินพุตและการกำหนดพารามิเตอร์แบบสอบถามที่เหมาะสมสำหรับอินพุตเว็บทั้งหมด
• การจำกัดสิทธิ์ของผู้ใช้ฐานข้อมูล เพื่อให้แม้แต่คำสั่งที่ถูกฉีดก็ไม่สามารถสร้าง Java source หรือเรียกใช้ stored procedure ตามอำเภอใจได้
• การขยายขอบเขตการตรวจสอบให้ครอบคลุมวัตถุฐานข้อมูล (Java classes, PL/SQL wrappers) แทนที่จะจำกัดเฉพาะสิ่งประดิษฐ์ระดับ OS

การโจมตีครั้งนี้เป็นเครื่องเตือนใจที่ชัดเจนว่าเอ็นจิ้นฐานข้อมูลที่มีสภาพแวดล้อมการเขียนโปรแกรมในตัว (เช่น Oracle JVM) สามารถกลายเป็นแพลตฟอร์มการโจมตีที่แฝงตัวได้ เมื่อรวมกับฟิลด์อินพุตที่ไม่ผ่านการตรวจสอบแม้แต่ฟิลด์เดียว ทีมรักษาความปลอดภัยต้องขยายการตรวจสอบให้เกินกว่าระบบปฏิบัติการเพื่อรวมชั้นวัตถุฐานข้อมูลด้วย