Атака Khunt: як хакери використали Oracle як платформу для атак
У липні 2026 року Huntress виявила SQL ін'єкцію, де зловмисники, використовуючи Java/Tomcat застосунок, вбудували набір інструментів 'khunt' як Java об'єкти в базу даних Oracle Набір містив модулі для виконання команд (KhuntCmd), викрадення хешів (KhuntHash) і роботи з файлами (KhuntFS) – це дозволило отримати повни...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
У липні 2026 року Huntress виявила SQL ін'єкцію, де зловмисники, використовуючи Java/Tomcat застосунок, вбудували набір інструментів 'khunt' як Java об'єкти в базу даних Oracle
Набір містив модулі для виконання команд (KhuntCmd), викрадення хешів (KhuntHash) і роботи з файлами (KhuntFS) – це дозволило отримати повний доступ до Windows сервера з правами SYSTEM
Huntress вказала на критичні прогалини: EDR та антивіруси не перевіряють Java класи та PL/SQL обгортки в Oracle, а надмірні привілеї облікових записів БД сприяли атаці
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
27 липня 2026 року компанія Huntress зафіксувала викрадення облікових даних на сервері з базою даних Oracle . Розслідування показало, що причиною стала SQL-ін'єкція — не використання zero-day уразливості, а експлуатація давно відомої проблеми в публічному Java/Tomcat застосунку. Унікальність атаки полягала в тому, що зловмисники не залишали файлів на диску. Натомість вони використали вбудовану віртуальну машину Java (JVM) Oracle, щоб скомпілювати та зберегти цілий набір інструментів "khunt" як Java-схеми всередині бази даних. Це дозволило обійти традиційні EDR та антивіруси, які не перевіряють об'єкти баз даних. Звідти хакери перейшли до Windows-системи, отримали повний доступ на рівні SYSTEM, викрали хеші паролів із реєстру та вивантажили їх. Інфраструктура зловмисників була прив'язана до IP 178.162.151[.]229.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Атака Khunt: як хакери використали Oracle як платформу для атак"?
У липні 2026 року Huntress виявила SQL ін'єкцію, де зловмисники, використовуючи Java/Tomcat застосунок, вбудували набір інструментів 'khunt' як Java об'єкти в базу даних Oracle
What are the key points to validate first?
У липні 2026 року Huntress виявила SQL ін'єкцію, де зловмисники, використовуючи Java/Tomcat застосунок, вбудували набір інструментів 'khunt' як Java об'єкти в базу даних Oracle Набір містив модулі для виконання команд (KhuntCmd), викрадення хешів (KhuntHash) і роботи з файлами (KhuntFS) – це дозволило отримати повний доступ до Windows сервера з правами SYSTEM
What should I do next in practice?
Huntress вказала на критичні прогалини: EDR та антивіруси не перевіряють Java класи та PL/SQL обгортки в Oracle, а надмірні привілеї облікових записів БД сприяли атаці
Атака Khunt: як хакери використали Oracle як платформу для атак
У липні 2026 року Huntress виявила SQL ін'єкцію, де зловмисники, використовуючи Java/Tomcat застосунок, вбудували набір інструментів 'khunt' як Java об'єкти в базу даних Oracle Набір містив модулі для виконання команд (KhuntCmd), викрадення хешів (KhuntHash) і роботи з файлами (KhuntFS) – це дозволило отримати повни...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
У липні 2026 року Huntress виявила SQL ін'єкцію, де зловмисники, використовуючи Java/Tomcat застосунок, вбудували набір інструментів 'khunt' як Java об'єкти в базу даних Oracle
Набір містив модулі для виконання команд (KhuntCmd), викрадення хешів (KhuntHash) і роботи з файлами (KhuntFS) – це дозволило отримати повний доступ до Windows сервера з правами SYSTEM
Huntress вказала на критичні прогалини: EDR та антивіруси не перевіряють Java класи та PL/SQL обгортки в Oracle, а надмірні привілеї облікових записів БД сприяли атаці
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
27 липня 2026 року компанія Huntress зафіксувала викрадення облікових даних на сервері з базою даних Oracle . Розслідування показало, що причиною стала SQL-ін'єкція — не використання zero-day уразливості, а експлуатація давно відомої проблеми в публічному Java/Tomcat застосунку. Унікальність атаки полягала в тому, що зловмисники не залишали файлів на диску. Натомість вони використали вбудовану віртуальну машину Java (JVM) Oracle, щоб скомпілювати та зберегти цілий набір інструментів "khunt" як Java-схеми всередині бази даних. Це дозволило обійти традиційні EDR та антивіруси, які не перевіряють об'єкти баз даних. Звідти хакери перейшли до Windows-системи, отримали повний доступ на рівні SYSTEM, викрали хеші паролів із реєстру та вивантажили їх. Інфраструктура зловмисників була прив'язана до IP 178.162.151[.]229.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Атака Khunt: як хакери використали Oracle як платформу для атак"?
У липні 2026 року Huntress виявила SQL ін'єкцію, де зловмисники, використовуючи Java/Tomcat застосунок, вбудували набір інструментів 'khunt' як Java об'єкти в базу даних Oracle
What are the key points to validate first?
У липні 2026 року Huntress виявила SQL ін'єкцію, де зловмисники, використовуючи Java/Tomcat застосунок, вбудували набір інструментів 'khunt' як Java об'єкти в базу даних Oracle Набір містив модулі для виконання команд (KhuntCmd), викрадення хешів (KhuntHash) і роботи з файлами (KhuntFS) – це дозволило отримати повний доступ до Windows сервера з правами SYSTEM
What should I do next in practice?
Huntress вказала на критичні прогалини: EDR та антивіруси не перевіряють Java класи та PL/SQL обгортки в Oracle, а надмірні привілеї облікових записів БД сприяли атаці
Як відбулася атака: SQL-ін'єкція через автодоповнення
Початковим вектором стала SQL-ін'єкція в публічному Java-застосунку на Apache Tomcat . Функція автодоповнення (autocomplete) не перевіряла введені користувачем дані, що дозволило хакерам через JDBC-з'єднання впровадити SQL-команди до бази Oracle . Як зазначили дослідники Huntress, це не нова вразливість — SQL-ін'єкції відомі десятиліттями і виникають через некоректну обробку введених даних . Достатньо було лише одного незахищеного поля пошуку.
Набір Khunt: живе всередині бази даних як Java-об'єкти
Замість традиційних файлів зловмисники використали вбудовану JVM Oracle та оператор CREATE JAVA SOURCE, щоб скомпілювати та зберегти набір інструментів як Java-схеми всередині бази даних . Це зробило інструменти невидимими для системних засобів захисту, адже EDR та антивіруси аналізують процеси та файли ОС, а не Java-класи та PL/SQL-обгортки в Oracle .
До складу khunt увійшли такі компоненти:
Компонент
Функція
KhuntCmd
Завантажує cmd.exe та виконує довільні команди ОС, вбудовуючи їх у SQL-запити
KhuntHash
Витягує імена користувачів і хеші паролів із внутрішніх таблиць Oracle та зберігає у файл
KhuntFS / KhuntFS2
Провідники файлів: перегляд, читання, пошук, перевірка розміру файлів
KhuntT
Простий інструмент "ping" для перевірки встановлення тулкіту
KhuntUnzip
Утиліта для розпакування архівів
khunt_ PL/SQL-обгортки*
Процедури-обгортки для виклику Java-методів
Повний контроль над системою: від бази даних до Windows
Хакери не зупинилися на рівні бази даних. Вони використали khunt, щоб перейти на Windows-сервер у кілька кроків:
Виконання команд ОС через KhuntCmd: Модуль запустив cmd.exe /c whoami, підтвердивши роботу з правами SYSTEM .
Викрадення облікових даних: Через PowerShell скопійовано гілки реєстру SECURITY та SYSTEM у файли khuntSECURITY.hiv і khuntSYSTEM.hiv у каталозі F:\Oracle\.
Збір інформації про служби: Виконано tasklist /svc, результат збережено як khunttasks.txt.
Додаткове копіювання: За допомогою esentutl.exe скопійовано SAM та ще одну копію SECURITY у файли khuntSAM.hiv та khunt_SECURITY.hiv.
Викрадені гілки реєстру можна використати для офлайн-злому хешів паролів .
Прогалини в захисті: висновки Huntress
Huntress виявила кілька критичних прогалин, які дозволили атаці вдатися:
База даних як платформа для атаки: База даних перетворилася з пасивного сховища на активну платформу для атаки, де шкідливе ПЗ живе всередині, а не на диску чи в пам'яті .
Обхід EDR/AV: Традиційні засоби захисту не перевіряють Java-класи та PL/SQL-обгортки в Oracle .
Класична вразливість, новий спосіб доставки: SQL-ін'єкція — відома проблема, не потрібен zero-day. Функція автодоповнення була достатньою для доступу до ОС .
Надмірні привілеї: Навіть після успішної ін'єкції шкода обмежена, якщо обліковий запис БД не має прав на створення Java-джерел. Але організації часто надають надлишкові привілеї .
Рекомендації Huntress
Належна фільтрація введених даних та параметризація запитів
Обмеження привілеїв користувачів БД, щоб навіть впроваджені запити не могли створювати Java-джерела
Розширення моніторингу на об'єкти бази даних (Java-класи, PL/SQL-обгортки)
Ця атака нагадує: бази даних із вбудованими середовищами програмування (як JVM в Oracle) можуть стати прихованими платформами для атак. Команди безпеки повинні стежити не лише за ОС, а й за об'єктами бази даних.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
Як відбулася атака: SQL-ін'єкція через автодоповнення
Початковим вектором стала SQL-ін'єкція в публічному Java-застосунку на Apache Tomcat . Функція автодоповнення (autocomplete) не перевіряла введені користувачем дані, що дозволило хакерам через JDBC-з'єднання впровадити SQL-команди до бази Oracle . Як зазначили дослідники Huntress, це не нова вразливість — SQL-ін'єкції відомі десятиліттями і виникають через некоректну обробку введених даних . Достатньо було лише одного незахищеного поля пошуку.
Набір Khunt: живе всередині бази даних як Java-об'єкти
Замість традиційних файлів зловмисники використали вбудовану JVM Oracle та оператор CREATE JAVA SOURCE, щоб скомпілювати та зберегти набір інструментів як Java-схеми всередині бази даних . Це зробило інструменти невидимими для системних засобів захисту, адже EDR та антивіруси аналізують процеси та файли ОС, а не Java-класи та PL/SQL-обгортки в Oracle .
До складу khunt увійшли такі компоненти:
Компонент
Функція
KhuntCmd
Завантажує cmd.exe та виконує довільні команди ОС, вбудовуючи їх у SQL-запити
KhuntHash
Витягує імена користувачів і хеші паролів із внутрішніх таблиць Oracle та зберігає у файл
KhuntFS / KhuntFS2
Провідники файлів: перегляд, читання, пошук, перевірка розміру файлів
KhuntT
Простий інструмент "ping" для перевірки встановлення тулкіту
KhuntUnzip
Утиліта для розпакування архівів
khunt_ PL/SQL-обгортки*
Процедури-обгортки для виклику Java-методів
Повний контроль над системою: від бази даних до Windows
Хакери не зупинилися на рівні бази даних. Вони використали khunt, щоб перейти на Windows-сервер у кілька кроків:
Виконання команд ОС через KhuntCmd: Модуль запустив cmd.exe /c whoami, підтвердивши роботу з правами SYSTEM .
Викрадення облікових даних: Через PowerShell скопійовано гілки реєстру SECURITY та SYSTEM у файли khuntSECURITY.hiv і khuntSYSTEM.hiv у каталозі F:\Oracle\.
Збір інформації про служби: Виконано tasklist /svc, результат збережено як khunttasks.txt.
Додаткове копіювання: За допомогою esentutl.exe скопійовано SAM та ще одну копію SECURITY у файли khuntSAM.hiv та khunt_SECURITY.hiv.
Викрадені гілки реєстру можна використати для офлайн-злому хешів паролів .
Прогалини в захисті: висновки Huntress
Huntress виявила кілька критичних прогалин, які дозволили атаці вдатися:
База даних як платформа для атаки: База даних перетворилася з пасивного сховища на активну платформу для атаки, де шкідливе ПЗ живе всередині, а не на диску чи в пам'яті .
Обхід EDR/AV: Традиційні засоби захисту не перевіряють Java-класи та PL/SQL-обгортки в Oracle .
Класична вразливість, новий спосіб доставки: SQL-ін'єкція — відома проблема, не потрібен zero-day. Функція автодоповнення була достатньою для доступу до ОС .
Надмірні привілеї: Навіть після успішної ін'єкції шкода обмежена, якщо обліковий запис БД не має прав на створення Java-джерел. Але організації часто надають надлишкові привілеї .
Рекомендації Huntress
Належна фільтрація введених даних та параметризація запитів
Обмеження привілеїв користувачів БД, щоб навіть впроваджені запити не могли створювати Java-джерела
Розширення моніторингу на об'єкти бази даних (Java-класи, PL/SQL-обгортки)
Ця атака нагадує: бази даних із вбудованими середовищами програмування (як JVM в Oracle) можуть стати прихованими платформами для атак. Команди безпеки повинні стежити не лише за ОС, а й за об'єктами бази даних.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
