Bên trong cuộc tấn công Khunt: Cách tin tặc biến cơ sở dữ liệu Oracle thành nền tảng tấn công hậu khai thác

Cách cuộc tấn công vận hành: SQL Injection qua ô tìm kiếm gợi ý (autocomplete)

Điểm xâm nhập đầu tiên là một lỗ hổng SQL injection trong một ứng dụng web Java chạy trên Apache Tomcat và được đặt ở chế độ công khai . Cụ thể, tính năng tìm kiếm gợi ý (autocomplete) của ứng dụng đã không kiểm tra đầu vào từ người dùng một cách chặt chẽ, cho phép tin tặc chèn các câu lệnh SQL độc hại thông qua kết nối JDBC tới database . Các nhà nghiên cứu của Huntress nhấn mạnh đây không phải là một lớp lỗ hổng mới – SQL injection đã tồn tại hàng thập kỷ và thường là kết quả của việc xử lý đầu vào không an toàn. Chỉ một ô tìm kiếm nhỏ bị bỏ quên cũng đủ để bắt đầu chuỗi tấn công chết người .

Bộ công cụ Khunt: 'Sống' bên trong database dưới dạng các đối tượng Java

Thay vì triển khai mã độc dưới dạng file thông thường, tin tặc đã tận dụng máy ảo Java của Oracle để biên dịch và cài toàn bộ bộ công cụ khunt dưới dạng các đối tượng lược đồ Java (Java schema objects). Đây là một kỹ thuật 'living off the land' nhưng ở cấp độ database, vì EDR và AV chỉ tập trung vào các process, file nhị phân trên hệ điều hành - chúng không có cơ chế kiểm tra các lớp Java và PL/SQL wrapper bên trong Oracle .

Bộ công cụ bao gồm các thành phần sau:

Chiếm quyền kiểm soát toàn bộ hệ thống: Từ database đến Windows OS

Tin tặc không dừng lại ở quyền truy cập database. Chúng sử dụng bộ công cụ khunt để leo thang sang hệ điều hành Windows bên dưới qua các bước:

1. Thực thi lệnh HĐH qua KhuntCmd: Chúng dùng module KhuntCmd để chạy lệnh cmd.exe /c whoami, xác nhận đang có quyền SYSTEM trên máy chủ Windows, thiết lập khả năng thực thi mã từ xa (RCE) .
2. Đánh cắp thông tin xác thực: Chúng dùng PowerShell để gọi reg.exe và sao chép các registry hive SECURITY và SYSTEM, lưu thành các file khuntSECURITY.hiv và khuntSYSTEM.hiv trong thư mục F:\Oracle\ .
3. Liệt kê dịch vụ: Chạy lệnh tasklist /svc và lưu kết quả thành khunttasks.txt .
4. Trích xuất thêm registry hive: Chúng dùng esentutl.exe để sao chép SAM và một bản sao thứ hai của SECURITY, lưu thành khuntSAM.hiv và khunt_SECURITY.hiv .

Các registry hive này sau đó có thể được sử dụng ngoại tuyến để trích xuất và giải mã hash mật khẩu của tất cả tài khoản local trên hệ thống .

Điểm mù phòng thủ: Phát hiện chính từ Huntress

Cuộc điều tra của Huntress đã chỉ ra một số điểm mù nghiêm trọng cho phép cuộc tấn công thành công và tránh bị phát hiện:

• Biến database thành bàn đạp tấn công: Cơ sở dữ liệu không còn là nơi lưu trữ thụ động mà trở thành một nền tảng tấn công chủ động, với mã độc nằm bên trong database thay vì trên ổ đĩa hay trong bộ nhớ .
• Qua mặt EDR/AV: Các giải pháp EDR và AV truyền thống không kiểm tra các lớp Java và PL/SQL wrapper bên trong Oracle, khiến toàn bộ bộ công cụ trở nên vô hình trước các lớp phòng thủ chuẩn .
• Lỗ hổng cũ, kỹ thuật mới: SQL injection ban đầu là một lớp lỗi cực kỳ phổ biến. Không cần zero-day. Chỉ một ô tìm kiếm (autocomplete) cũng đủ để chạm tới PL/SQL và sau đó là toàn bộ hệ điều hành .
• Tài khoản database bị cấp quyền quá rộng: Ngay cả khi SQL injection thành công, thiệt hại sẽ bị hạn chế nếu tài khoản database không có quyền tạo Java sources hay thực thi stored procedures. Tuy nhiên, nhiều tổ chức thường cấp quyền quá rộng, vô tình tiếp tay cho tin tặc .

Các biện pháp giảm thiểu được Huntress khuyến nghị

Dựa trên cuộc tấn công này, Huntress đã đưa ra các khuyến nghị sau :

• Lọc đầu vào và tham số hóa truy vấn (query parameterization) cho tất cả các đầu vào web
• Hạn chế quyền của tài khoản database để ngay cả khi bị SQL injection, tin tặc cũng không thể tạo Java sources hay thực thi stored procedures tùy ý
• Mở rộng phạm vi giám sát để bao gồm các đối tượng database (các lớp Java, PL/SQL wrapper) chứ không chỉ giới hạn ở các tạo tác hệ điều hành

Cuộc tấn công này là một lời cảnh tỉnh mạnh mẽ: các công cụ lập trình tích hợp trong database (như JVM của Oracle) có thể trở thành nền tảng tấn công cực kỳ tinh vi khi kết hợp với một lỗ hổng 'nhỏ' như SQL injection. Các đội ngũ bảo mật buộc phải mở rộng tầm giám sát của mình ra ngoài hệ điều hành, vươn tới tận lớp đối tượng bên trong database.