Une nouvelle méthode d'attaque extrêmement dangereuse a été identifiée : des pirates informatiques dissimulent des logiciels malveillants directement dans les bases de données Oracle. Chez TechNoid, nous analysons le fonctionnement de cette technique et les modifications à apporter immédiatement à votre architecture.
- Les attaquants en ont profité Injection SQL à un point de terminaison Apache Tomcat public pour infiltrer le système.
- Au lieu des fichiers traditionnels sur le serveur, ils ont installé la boîte à outils Java khunt sous forme d'objet à l'intérieur de la base de données Oracle.
- La machine virtuelle Java intégrée d'Oracle a été utilisée abusivement pour exécuter des commandes système avec les privilèges SYSTEM.
Le mécanisme de l'injection SQL
Tout commence par un point de terminaison de recherche apparemment inoffensif dans une application Java exécutée sur Apache Tomcat, comme l'ont révélé les données de Huntress . L'absence de validation stricte des entrées dans les champs de saisie automatique permet aux attaquants d'y injecter une requête SQL. D'après les journaux, les requêtes ont initialement été détectées comme provenant de l'adresse IP 178.162.151.229. Si vous n'avez pas protégé vos formulaires web publics, chacun d'eux devient un cheval de Troie pour votre infrastructure.
Enregistrement du logiciel malveillant en tant qu'objet Java
La véritable innovation des pirates dans cette attaque ne réside pas dans l'injection SQL elle-même, mais dans le fait qu'ils ont évité l'utilisation des fichiers .exe ou des scripts classiques. Tirant parti de la machine virtuelle Java intégrée d'Oracle et de l'instruction CREATE JAVA SOURCE, ils ont stocké l'outil khunt directement comme un objet dans la base de données. Comme le précise Oracle dans sa documentation officielle relative à la gestion de Java dans la base de données, cette fonctionnalité a été conçue pour simplifier le développement, et non pour héberger des kits d'outils post-exploitation. Ce kit d'outils comprenait des composants tels que KhuntCmd pour les appels système et KhuntHash pour l'extraction de code.
Risques liés aux privilèges SYSTEM
Le point critique de défaillance dans de tels scénarios réside dans l'attribution de privilèges excessifs aux comptes de connexion à l'application web. Lorsque des pirates ont utilisé KhuntCmd pour exécuter la commande cmd.exe /c whoamiIls ont constaté que la base de données fonctionnait avec des privilèges SYSTEM complets sur FenêtresCela leur a permis de copier des clés du registre Windows, telles que SAM, SECURITY et SYSTEM, afin de récupérer les hachages de mots de passe. Des vulnérabilités similaires dans les réseaux d'entreprise sont souvent analysées dans des rapports tels que : Livre blanc de Picus concernant les tests de simulation de brèche.
Notre avis chez TechNoid
Le stockage de logiciels malveillants au sein de la base de données démontre que les outils EDR traditionnels installés sur les terminaux sont souvent vulnérables aux menaces dissimulées dans les bases de données. Chez TechNoid, nous pensons que la principale erreur n'est pas la vulnérabilité par injection SQL en elle-même, mais plutôt l'architecture laxiste qui accorde des privilèges d'administrateur aux comptes d'applications web. Il est impératif de mettre en œuvre immédiatement une politique stricte de moindre privilège et de supprimer les droits de création de code source Java pour tout compte de base de données accessible publiquement. Consultez également notre guide sur la sécurité des infrastructures cloud pour protéger vos terminaux.
Foire aux questions concernant l'attaque du logiciel malveillant khunt contre Oracle
Qu'est-ce que la boîte à outils de logiciels malveillants khunt ?
Il s'agit d'un ensemble de composants Java et de wrappers PL/SQL installés dans la base de données Oracle pour exécuter des commandes et voler des identifiants.
Comment les pirates informatiques ont-ils obtenu l'accès à la base de données ?
Ils ont utilisé un point de terminaison de recherche défectueux dans une application Java publique via une vulnérabilité d'injection SQL.
Pourquoi ont-ils stocké le logiciel malveillant au sein d'Oracle ?
Pour éviter la détection par les antivirus traditionnels, en tirant parti de la machine virtuelle Java intégrée à la base de données.
Quels droits possédaient les commandes exécutées ?
Les commandes ont été exécutées avec les privilèges SYSTEM sur le serveur Windows, permettant l'accès à des fichiers de registre critiques.
Quels outils contenait la trousse à outils ?
Il comprenait KhuntCmd, KhuntHash, KhuntFS, KhuntFS2, KhuntT et KhuntUnzip pour la gestion des fichiers et des commandes.
Qui a découvert cette attaque ?
La plateforme de sécurité de Huntress a détecté le vol d'identifiants le 27 juillet 2026.
Comment puis-je protéger ma base de données Oracle ?
Limitez les autorisations des comptes d'application afin qu'ils ne puissent pas créer de sources Java ni exécuter de processus inutiles.
