Bên trong cuộc tấn công Khunt: Cách tin tặc biến cơ sở dữ liệu Oracle thành nền tảng tấn công hậu khai thác
Vào tháng 7/2026, Huntress phát hiện một cuộc tấn công SQL injection khai thác ứng dụng web Java/Tomcat để tiêm toàn bộ bộ công cụ hậu khai thác 'khunt' dưới dạng các đối tượng lược đồ Java vào bên trong cơ sở dữ liệu... Bộ công cụ bao gồm các thành phần như KhuntCmd (thực thi lệnh HĐH), KhuntHash (trích xuất hash m...
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
Vào tháng 7/2026, Huntress phát hiện một cuộc tấn công SQL injection khai thác ứng dụng web Java/Tomcat để tiêm toàn bộ bộ công cụ hậu khai thác 'khunt' dưới dạng các đối tượng lược đồ Java vào bên trong cơ sở dữ liệu...
Bộ công cụ bao gồm các thành phần như KhuntCmd (thực thi lệnh HĐH), KhuntHash (trích xuất hash mật khẩu), KhuntFS/FS2 (khám phá file), giúp tin tặc giành được quyền SYSTEM trên máy chủ Windows bên dưới.
Huntress chỉ ra các điểm mù nghiêm trọng: EDR/AV không kiểm tra các lớp Java và PL/SQL wrapper bên trong Oracle, và việc cấp quyền tài khoản database quá rộng đã tạo điều kiện cho cuộc tấn công.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Ngày 27/7/2026, đội ngũ Huntress – một công ty an ninh mạng – nhận được cảnh báo về hoạt động đánh cắp thông tin xác thực (credential theft) trên một máy chủ đang chạy cơ sở dữ liệu Oracle. Điều tra cho thấy đây là một cuộc tấn công SQL injection rất tinh vi. Điểm đáng chú ý không phải là lỗi zero-day, mà là cách tin tặc tận dụng một lỗ hổng kinh điển để biến database thành 'vũ khí' tấn công tầm cao .
Thay vì cài các file độc hại thông thường lên ổ đĩa, chúng sử dụng máy ảo Java (JVM) tích hợp trong Oracle và câu lệnh CREATE JAVA SOURCE để biên dịch và lưu trữ toàn bộ bộ công cụ hậu khai thác có tên 'khunt' dưới dạng các đối tượng lược đồ Java bên trong database. Điều này khiến bộ công cụ hoàn toàn vô hình trước các giải pháp bảo vệ đầu cuối (EDR) và phần mềm diệt virus (AV), vì chúng không bao giờ 'nhìn' vào các lớp Java hay PL/SQL wrapper bên trong Oracle. Từ đó, tin tặc leo thang lên hệ điều hành Windows, đạt được quyền SYSTEM (cao nhất), trích xuất toàn bộ registry hive chứa hash mật khẩu và gửi ra ngoài .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "Bên trong cuộc tấn công Khunt: Cách tin tặc biến cơ sở dữ liệu Oracle thành nền tảng tấn công hậu khai thác" là gì?
Vào tháng 7/2026, Huntress phát hiện một cuộc tấn công SQL injection khai thác ứng dụng web Java/Tomcat để tiêm toàn bộ bộ công cụ hậu khai thác 'khunt' dưới dạng các đối tượng lược đồ Java vào bên trong cơ sở dữ liệu...
Những điểm chính cần xác nhận đầu tiên là gì?
Vào tháng 7/2026, Huntress phát hiện một cuộc tấn công SQL injection khai thác ứng dụng web Java/Tomcat để tiêm toàn bộ bộ công cụ hậu khai thác 'khunt' dưới dạng các đối tượng lược đồ Java vào bên trong cơ sở dữ liệu... Bộ công cụ bao gồm các thành phần như KhuntCmd (thực thi lệnh HĐH), KhuntHash (trích xuất hash mật khẩu), KhuntFS/FS2 (khám phá file), giúp tin tặc giành được quyền SYSTEM trên máy chủ Windows bên dưới.
Tôi nên làm gì tiếp theo trong thực tế?
Huntress chỉ ra các điểm mù nghiêm trọng: EDR/AV không kiểm tra các lớp Java và PL/SQL wrapper bên trong Oracle, và việc cấp quyền tài khoản database quá rộng đã tạo điều kiện cho cuộc tấn công.
Bên trong cuộc tấn công Khunt: Cách tin tặc biến cơ sở dữ liệu Oracle thành nền tảng tấn công hậu khai thác
Vào tháng 7/2026, Huntress phát hiện một cuộc tấn công SQL injection khai thác ứng dụng web Java/Tomcat để tiêm toàn bộ bộ công cụ hậu khai thác 'khunt' dưới dạng các đối tượng lược đồ Java vào bên trong cơ sở dữ liệu... Bộ công cụ bao gồm các thành phần như KhuntCmd (thực thi lệnh HĐH), KhuntHash (trích xuất hash m...
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
Vào tháng 7/2026, Huntress phát hiện một cuộc tấn công SQL injection khai thác ứng dụng web Java/Tomcat để tiêm toàn bộ bộ công cụ hậu khai thác 'khunt' dưới dạng các đối tượng lược đồ Java vào bên trong cơ sở dữ liệu...
Bộ công cụ bao gồm các thành phần như KhuntCmd (thực thi lệnh HĐH), KhuntHash (trích xuất hash mật khẩu), KhuntFS/FS2 (khám phá file), giúp tin tặc giành được quyền SYSTEM trên máy chủ Windows bên dưới.
Huntress chỉ ra các điểm mù nghiêm trọng: EDR/AV không kiểm tra các lớp Java và PL/SQL wrapper bên trong Oracle, và việc cấp quyền tài khoản database quá rộng đã tạo điều kiện cho cuộc tấn công.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
Prompt AI
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Ngày 27/7/2026, đội ngũ Huntress – một công ty an ninh mạng – nhận được cảnh báo về hoạt động đánh cắp thông tin xác thực (credential theft) trên một máy chủ đang chạy cơ sở dữ liệu Oracle. Điều tra cho thấy đây là một cuộc tấn công SQL injection rất tinh vi. Điểm đáng chú ý không phải là lỗi zero-day, mà là cách tin tặc tận dụng một lỗ hổng kinh điển để biến database thành 'vũ khí' tấn công tầm cao .
Thay vì cài các file độc hại thông thường lên ổ đĩa, chúng sử dụng máy ảo Java (JVM) tích hợp trong Oracle và câu lệnh CREATE JAVA SOURCE để biên dịch và lưu trữ toàn bộ bộ công cụ hậu khai thác có tên 'khunt' dưới dạng các đối tượng lược đồ Java bên trong database. Điều này khiến bộ công cụ hoàn toàn vô hình trước các giải pháp bảo vệ đầu cuối (EDR) và phần mềm diệt virus (AV), vì chúng không bao giờ 'nhìn' vào các lớp Java hay PL/SQL wrapper bên trong Oracle. Từ đó, tin tặc leo thang lên hệ điều hành Windows, đạt được quyền SYSTEM (cao nhất), trích xuất toàn bộ registry hive chứa hash mật khẩu và gửi ra ngoài .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "Bên trong cuộc tấn công Khunt: Cách tin tặc biến cơ sở dữ liệu Oracle thành nền tảng tấn công hậu khai thác" là gì?
Vào tháng 7/2026, Huntress phát hiện một cuộc tấn công SQL injection khai thác ứng dụng web Java/Tomcat để tiêm toàn bộ bộ công cụ hậu khai thác 'khunt' dưới dạng các đối tượng lược đồ Java vào bên trong cơ sở dữ liệu...
Những điểm chính cần xác nhận đầu tiên là gì?
Vào tháng 7/2026, Huntress phát hiện một cuộc tấn công SQL injection khai thác ứng dụng web Java/Tomcat để tiêm toàn bộ bộ công cụ hậu khai thác 'khunt' dưới dạng các đối tượng lược đồ Java vào bên trong cơ sở dữ liệu... Bộ công cụ bao gồm các thành phần như KhuntCmd (thực thi lệnh HĐH), KhuntHash (trích xuất hash mật khẩu), KhuntFS/FS2 (khám phá file), giúp tin tặc giành được quyền SYSTEM trên máy chủ Windows bên dưới.
Tôi nên làm gì tiếp theo trong thực tế?
Huntress chỉ ra các điểm mù nghiêm trọng: EDR/AV không kiểm tra các lớp Java và PL/SQL wrapper bên trong Oracle, và việc cấp quyền tài khoản database quá rộng đã tạo điều kiện cho cuộc tấn công.
Cách cuộc tấn công vận hành: SQL Injection qua ô tìm kiếm gợi ý (autocomplete)
Điểm xâm nhập đầu tiên là một lỗ hổng SQL injection trong một ứng dụng web Java chạy trên Apache Tomcat và được đặt ở chế độ công khai . Cụ thể, tính năng tìm kiếm gợi ý (autocomplete) của ứng dụng đã không kiểm tra đầu vào từ người dùng một cách chặt chẽ, cho phép tin tặc chèn các câu lệnh SQL độc hại thông qua kết nối JDBC tới database . Các nhà nghiên cứu của Huntress nhấn mạnh đây không phải là một lớp lỗ hổng mới – SQL injection đã tồn tại hàng thập kỷ và thường là kết quả của việc xử lý đầu vào không an toàn. Chỉ một ô tìm kiếm nhỏ bị bỏ quên cũng đủ để bắt đầu chuỗi tấn công chết người .
Bộ công cụ Khunt: 'Sống' bên trong database dưới dạng các đối tượng Java
Thay vì triển khai mã độc dưới dạng file thông thường, tin tặc đã tận dụng máy ảo Java của Oracle để biên dịch và cài toàn bộ bộ công cụ khunt dưới dạng các đối tượng lược đồ Java (Java schema objects). Đây là một kỹ thuật 'living off the land' nhưng ở cấp độ database, vì EDR và AV chỉ tập trung vào các process, file nhị phân trên hệ điều hành - chúng không có cơ chế kiểm tra các lớp Java và PL/SQL wrapper bên trong Oracle .
Bộ công cụ bao gồm các thành phần sau:
Thành phần
Chức năng
KhuntCmd
Tải cmd.exe và thực thi các lệnh hệ điều hành tùy ý bằng cách nhúng chúng vào các câu lệnh SQL gửi tới database
KhuntHash
Trích xuất tên người dùng và hash mật khẩu từ các bảng nội bộ của Oracle, sau đó lưu thành file
KhuntFS / KhuntFS2
Công cụ khám phá file: liệt kê, đọc, tìm kiếm và kiểm tra kích thước file trên hệ thống bị xâm phạm
KhuntT
Công cụ 'ping' đơn giản để xác nhận bộ toolkit đã được cài đặt và có thể liên lạc được
KhuntUnzip
Tiện ích giải nén file
khunt_ PL/SQL wrappers*
Các thủ tục PL/SQL dùng để gọi các phương thức Java bên dưới
Chiếm quyền kiểm soát toàn bộ hệ thống: Từ database đến Windows OS
Tin tặc không dừng lại ở quyền truy cập database. Chúng sử dụng bộ công cụ khunt để leo thang sang hệ điều hành Windows bên dưới qua các bước:
Thực thi lệnh HĐH qua KhuntCmd: Chúng dùng module KhuntCmd để chạy lệnh cmd.exe /c whoami, xác nhận đang có quyền SYSTEM trên máy chủ Windows, thiết lập khả năng thực thi mã từ xa (RCE) .
Đánh cắp thông tin xác thực: Chúng dùng PowerShell để gọi reg.exe và sao chép các registry hive SECURITY và SYSTEM, lưu thành các file khuntSECURITY.hiv và khuntSYSTEM.hiv trong thư mục F:\Oracle\.
Liệt kê dịch vụ: Chạy lệnh tasklist /svc và lưu kết quả thành khunttasks.txt.
Trích xuất thêm registry hive: Chúng dùng esentutl.exe để sao chép SAM và một bản sao thứ hai của SECURITY, lưu thành khuntSAM.hiv và khunt_SECURITY.hiv.
Các registry hive này sau đó có thể được sử dụng ngoại tuyến để trích xuất và giải mã hash mật khẩu của tất cả tài khoản local trên hệ thống .
Điểm mù phòng thủ: Phát hiện chính từ Huntress
Cuộc điều tra của Huntress đã chỉ ra một số điểm mù nghiêm trọng cho phép cuộc tấn công thành công và tránh bị phát hiện:
Biến database thành bàn đạp tấn công: Cơ sở dữ liệu không còn là nơi lưu trữ thụ động mà trở thành một nền tảng tấn công chủ động, với mã độc nằm bên trong database thay vì trên ổ đĩa hay trong bộ nhớ .
Qua mặt EDR/AV: Các giải pháp EDR và AV truyền thống không kiểm tra các lớp Java và PL/SQL wrapper bên trong Oracle, khiến toàn bộ bộ công cụ trở nên vô hình trước các lớp phòng thủ chuẩn .
Lỗ hổng cũ, kỹ thuật mới: SQL injection ban đầu là một lớp lỗi cực kỳ phổ biến. Không cần zero-day. Chỉ một ô tìm kiếm (autocomplete) cũng đủ để chạm tới PL/SQL và sau đó là toàn bộ hệ điều hành .
Tài khoản database bị cấp quyền quá rộng: Ngay cả khi SQL injection thành công, thiệt hại sẽ bị hạn chế nếu tài khoản database không có quyền tạo Java sources hay thực thi stored procedures. Tuy nhiên, nhiều tổ chức thường cấp quyền quá rộng, vô tình tiếp tay cho tin tặc .
Các biện pháp giảm thiểu được Huntress khuyến nghị
Dựa trên cuộc tấn công này, Huntress đã đưa ra các khuyến nghị sau :
Lọc đầu vào và tham số hóa truy vấn (query parameterization) cho tất cả các đầu vào web
Hạn chế quyền của tài khoản database để ngay cả khi bị SQL injection, tin tặc cũng không thể tạo Java sources hay thực thi stored procedures tùy ý
Mở rộng phạm vi giám sát để bao gồm các đối tượng database (các lớp Java, PL/SQL wrapper) chứ không chỉ giới hạn ở các tạo tác hệ điều hành
Cuộc tấn công này là một lời cảnh tỉnh mạnh mẽ: các công cụ lập trình tích hợp trong database (như JVM của Oracle) có thể trở thành nền tảng tấn công cực kỳ tinh vi khi kết hợp với một lỗ hổng 'nhỏ' như SQL injection. Các đội ngũ bảo mật buộc phải mở rộng tầm giám sát của mình ra ngoài hệ điều hành, vươn tới tận lớp đối tượng bên trong database.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
Cách cuộc tấn công vận hành: SQL Injection qua ô tìm kiếm gợi ý (autocomplete)
Điểm xâm nhập đầu tiên là một lỗ hổng SQL injection trong một ứng dụng web Java chạy trên Apache Tomcat và được đặt ở chế độ công khai . Cụ thể, tính năng tìm kiếm gợi ý (autocomplete) của ứng dụng đã không kiểm tra đầu vào từ người dùng một cách chặt chẽ, cho phép tin tặc chèn các câu lệnh SQL độc hại thông qua kết nối JDBC tới database . Các nhà nghiên cứu của Huntress nhấn mạnh đây không phải là một lớp lỗ hổng mới – SQL injection đã tồn tại hàng thập kỷ và thường là kết quả của việc xử lý đầu vào không an toàn. Chỉ một ô tìm kiếm nhỏ bị bỏ quên cũng đủ để bắt đầu chuỗi tấn công chết người .
Bộ công cụ Khunt: 'Sống' bên trong database dưới dạng các đối tượng Java
Thay vì triển khai mã độc dưới dạng file thông thường, tin tặc đã tận dụng máy ảo Java của Oracle để biên dịch và cài toàn bộ bộ công cụ khunt dưới dạng các đối tượng lược đồ Java (Java schema objects). Đây là một kỹ thuật 'living off the land' nhưng ở cấp độ database, vì EDR và AV chỉ tập trung vào các process, file nhị phân trên hệ điều hành - chúng không có cơ chế kiểm tra các lớp Java và PL/SQL wrapper bên trong Oracle .
Bộ công cụ bao gồm các thành phần sau:
Thành phần
Chức năng
KhuntCmd
Tải cmd.exe và thực thi các lệnh hệ điều hành tùy ý bằng cách nhúng chúng vào các câu lệnh SQL gửi tới database
KhuntHash
Trích xuất tên người dùng và hash mật khẩu từ các bảng nội bộ của Oracle, sau đó lưu thành file
KhuntFS / KhuntFS2
Công cụ khám phá file: liệt kê, đọc, tìm kiếm và kiểm tra kích thước file trên hệ thống bị xâm phạm
KhuntT
Công cụ 'ping' đơn giản để xác nhận bộ toolkit đã được cài đặt và có thể liên lạc được
KhuntUnzip
Tiện ích giải nén file
khunt_ PL/SQL wrappers*
Các thủ tục PL/SQL dùng để gọi các phương thức Java bên dưới
Chiếm quyền kiểm soát toàn bộ hệ thống: Từ database đến Windows OS
Tin tặc không dừng lại ở quyền truy cập database. Chúng sử dụng bộ công cụ khunt để leo thang sang hệ điều hành Windows bên dưới qua các bước:
Thực thi lệnh HĐH qua KhuntCmd: Chúng dùng module KhuntCmd để chạy lệnh cmd.exe /c whoami, xác nhận đang có quyền SYSTEM trên máy chủ Windows, thiết lập khả năng thực thi mã từ xa (RCE) .
Đánh cắp thông tin xác thực: Chúng dùng PowerShell để gọi reg.exe và sao chép các registry hive SECURITY và SYSTEM, lưu thành các file khuntSECURITY.hiv và khuntSYSTEM.hiv trong thư mục F:\Oracle\.
Liệt kê dịch vụ: Chạy lệnh tasklist /svc và lưu kết quả thành khunttasks.txt.
Trích xuất thêm registry hive: Chúng dùng esentutl.exe để sao chép SAM và một bản sao thứ hai của SECURITY, lưu thành khuntSAM.hiv và khunt_SECURITY.hiv.
Các registry hive này sau đó có thể được sử dụng ngoại tuyến để trích xuất và giải mã hash mật khẩu của tất cả tài khoản local trên hệ thống .
Điểm mù phòng thủ: Phát hiện chính từ Huntress
Cuộc điều tra của Huntress đã chỉ ra một số điểm mù nghiêm trọng cho phép cuộc tấn công thành công và tránh bị phát hiện:
Biến database thành bàn đạp tấn công: Cơ sở dữ liệu không còn là nơi lưu trữ thụ động mà trở thành một nền tảng tấn công chủ động, với mã độc nằm bên trong database thay vì trên ổ đĩa hay trong bộ nhớ .
Qua mặt EDR/AV: Các giải pháp EDR và AV truyền thống không kiểm tra các lớp Java và PL/SQL wrapper bên trong Oracle, khiến toàn bộ bộ công cụ trở nên vô hình trước các lớp phòng thủ chuẩn .
Lỗ hổng cũ, kỹ thuật mới: SQL injection ban đầu là một lớp lỗi cực kỳ phổ biến. Không cần zero-day. Chỉ một ô tìm kiếm (autocomplete) cũng đủ để chạm tới PL/SQL và sau đó là toàn bộ hệ điều hành .
Tài khoản database bị cấp quyền quá rộng: Ngay cả khi SQL injection thành công, thiệt hại sẽ bị hạn chế nếu tài khoản database không có quyền tạo Java sources hay thực thi stored procedures. Tuy nhiên, nhiều tổ chức thường cấp quyền quá rộng, vô tình tiếp tay cho tin tặc .
Các biện pháp giảm thiểu được Huntress khuyến nghị
Dựa trên cuộc tấn công này, Huntress đã đưa ra các khuyến nghị sau :
Lọc đầu vào và tham số hóa truy vấn (query parameterization) cho tất cả các đầu vào web
Hạn chế quyền của tài khoản database để ngay cả khi bị SQL injection, tin tặc cũng không thể tạo Java sources hay thực thi stored procedures tùy ý
Mở rộng phạm vi giám sát để bao gồm các đối tượng database (các lớp Java, PL/SQL wrapper) chứ không chỉ giới hạn ở các tạo tác hệ điều hành
Cuộc tấn công này là một lời cảnh tỉnh mạnh mẽ: các công cụ lập trình tích hợp trong database (như JVM của Oracle) có thể trở thành nền tảng tấn công cực kỳ tinh vi khi kết hợp với một lỗ hổng 'nhỏ' như SQL injection. Các đội ngũ bảo mật buộc phải mở rộng tầm giám sát của mình ra ngoài hệ điều hành, vươn tới tận lớp đối tượng bên trong database.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
