Eine neue, extrem gefährliche Angriffsmethode wurde entdeckt, bei der Hacker Schadsoftware direkt in Oracle-Datenbanken verstecken. Wir von TechNoid analysieren die Funktionsweise dieser Technik und zeigen Ihnen, welche Änderungen Sie umgehend an Ihrer Architektur vornehmen sollten.
- Die Angreifer nutzten die Gelegenheit SQL-Injection um in das System einzudringen.
- Anstelle herkömmlicher Dateien auf dem Server installierten sie das Java-Toolkit khunt als Objekt innerhalb der Oracle-Datenbank.
- Die eingebettete Java Virtual Machine von Oracle wurde missbraucht, um Systembefehle mit SYSTEM-Berechtigungen auszuführen.
Der Mechanismus der SQL-Injection
Wie Daten von Huntress zeigen , beginnt alles mit einem scheinbar harmlosen Such-Endpunkt in einer Java-Anwendung, die auf Apache Tomcat läuft . Die fehlende strenge Eingabevalidierung in Autocomplete-Feldern ermöglicht es Angreifern, SQL-Payload einzuschleusen. Laut den Protokollen kamen die Anfragen zunächst von der IP-Adresse 178.162.151.229. Wenn Sie Ihre öffentlichen Webformulare nicht absichern, wird jedes dieser Formulare zu einem Trojaner für Ihre Infrastruktur.
Speichern von Malware als Java-Objekt
Die eigentliche Innovation der Hacker bei diesem Angriff liegt nicht in der SQL-Injection selbst, sondern darin, dass sie die klassischen .exe-Dateien oder Skripte vermieden. Sie nutzten die in Oracle integrierte Java Virtual Machine und die CREATE JAVA SOURCE-Anweisung, um das Khunt-Tool direkt als Objekt in der Datenbank zu speichern. Wie Oracle in seiner offiziellen Dokumentation zur Java-Verwaltung in der Datenbank erklärt, wurde diese Funktion zwar zur Vereinfachung der Entwicklung konzipiert, jedoch nicht für die Bereitstellung von Post-Exploitation-Toolkits. Das Toolkit enthielt Bausteine wie KhuntCmd für Betriebssystemaufrufe und KhuntHash zur Codeextraktion.
Risiken bei SYSTEM-Berechtigungen
Der kritische Punkt in solchen Szenarien ist die übermäßige Vergabe von Berechtigungen an die Anmeldekonten der Webanwendung. Wenn Hacker KhuntCmd verwenden, um den Befehl auszuführen cmd.exe /c whoamiSie stellten fest, dass die Datenbank mit vollen SYSTEM-Rechten lief. WindowsDies ermöglichte es ihnen, wichtige Windows-Registrierungsstrukturen wie SAM, SECURITY und SYSTEM zu kopieren, um Passwort-Hashes wiederherzustellen. Ähnliche Schwachstellen in Unternehmensnetzwerken werden häufig in Berichten wie beispielsweise … analysiert. Picus-Whitepaper in Bezug auf Simulationstests von Sicherheitsvorfällen.
Unsere Meinung bei TechNoid
Die Speicherung von Malware in der Datenbank beweist, dass herkömmliche EDR-Tools auf Endpunkten oft von Bedrohungen überrascht werden, die in Datenbanken verborgen bleiben. Wir von TechNoid sind der Ansicht, dass der größte Fehler hier nicht die SQL-Injection-Schwachstelle an sich ist, sondern die unzureichende Architektur, die Webanwendungskonten administrative Berechtigungen gewährt. Sie sollten umgehend strenge Least-Privilege-Richtlinien implementieren und die Berechtigung zum Erstellen von Java-Quellcode für alle öffentlich zugänglichen Datenbankkonten entfernen. Lesen Sie außerdem unseren Leitfaden zur Cloud-Infrastruktursicherheit, um Ihre Endpunkte zu schützen.
Häufig gestellte Fragen zum Khunt-Malware-Angriff auf Oracle
Was ist das Khunt-Malware-Toolkit?
Hierbei handelt es sich um eine Reihe von Java-Komponenten und PL/SQL-Wrappern, die in der Oracle-Datenbank installiert wurden, um Befehle auszuführen und Anmeldeinformationen zu stehlen.
Wie haben die Hacker Zugang zur Datenbank erlangt?
Sie nutzten eine fehlerhafte Suchschnittstelle in einer öffentlichen Java-Anwendung über eine SQL-Injection-Schwachstelle aus.
Warum wurde die Schadsoftware in Oracle gespeichert?
Um einer Erkennung durch herkömmliche Antivirenprogramme zu entgehen, wird die in der Datenbank integrierte Java Virtual Machine genutzt.
Welche Rechte hatten die ausgeführten Befehle?
Die Befehle wurden mit SYSTEM-Rechten auf dem Windows-Server ausgeführt, wodurch der Zugriff auf wichtige Registrierungsdateien ermöglicht wurde.
Welche Werkzeuge enthielt das Toolkit?
Es umfasste KhuntCmd, KhuntHash, KhuntFS, KhuntFS2, KhuntT und KhuntUnzip zur Datei- und Befehlsverwaltung.
Wer hat diesen Angriff entdeckt?
Die Sicherheitsplattform von Huntress hat den Diebstahl der Zugangsdaten am 27. Juli 2026 festgestellt.
Wie kann ich meine Oracle-Datenbank schützen?
Beschränken Sie die Berechtigungen von Anwendungskonten so, dass diese keine Java-Quelltexte erstellen oder unnötige Prozesse ausführen können.
