Oracle 데이터베이스: 해커들이 Khunt 도구를 사용했습니다.

최근 해커들이 오라클 데이터베이스 내부에 악성코드를 직접 숨기는 매우 위험한 새로운 공격 방식이 발견되었습니다 . TechNoid는 이 공격 기법의 작동 방식과 시스템 아키텍처에서 즉시 변경해야 할 사항을 분석합니다.

SQL 인젝션 메커니즘

Huntress 데이터에 따르면 , 모든 것은 Apache Tomcat에서 실행되는 Java 애플리케이션의 겉보기에는 무해해 보이는 검색 엔드포인트에서 시작됩니다 . 자동 완성 필드에 엄격한 입력 유효성 검사가 이루어지지 않아 공격자가 SQL 페이로드를 전달할 수 있습니다. 로그에 따르면, 초기 요청은 178.162.151.229 IP 주소에서 발생한 것으로 감지되었습니다. 공개 웹 양식을 보호하지 않았다면, 이러한 양식 하나하나가 인프라에 대한 트로이 목마가 될 수 있습니다.

악성 소프트웨어를 Java 객체로 저장

이 공격에서 해커들의 진정한 혁신은 SQL 인젝션 자체에 있는 것이 아니라, 기존의 .exe 파일이나 스크립트를 사용하지 않았다는 점에 있습니다. 오라클의 내장 자바 가상 머신(JVM)과 `CREATE JAVA SOURCE` 문을 활용하여, khunt 툴을 데이터베이스에 객체로 직접 저장했습니다. 오라클은 데이터베이스 내 자바 관리 관련 공식 문서에서 이 기능이 개발 편의성을 위해 설계된 것이지, 사후 공격 툴킷을 저장하기 위한 것이 아니라고 명시하고 있습니다. 해당 툴킷에는 운영체제 호출을 위한 `KhuntCmd`와 코드 추출을 위한 `KhuntHash`와 같은 구성 요소들이 포함되어 있었습니다.

SYSTEM 권한 사용 시 위험

이러한 시나리오에서 결정적인 실패 지점은 웹 애플리케이션 로그인 계정에 과도한 권한이 부여된 것입니다. 해커들이 KhuntCmd를 사용하여 명령을 실행했을 때 이러한 문제가 발생했습니다. cmd.exe /c whoami그들은 데이터베이스가 SYSTEM 권한으로 실행되고 있음을 발견했습니다. Windows이를 통해 SAM, SECURITY, SYSTEM과 같은 주요 Windows 레지스트리 하이브를 복사하여 암호 해시를 복구할 수 있었습니다. 기업 네트워크에서 발견되는 이와 유사한 취약점은 다음과 같은 보고서에서 자주 분석됩니다. 피쿠스 백서 침해 시뮬레이션 테스트에 관하여.

TechNoid의 의견

데이터베이스 내부에 악성코드를 저장하는 것은 엔드포인트의 기존 EDR 도구가 데이터베이스 내부에 숨어있는 위협에 제대로 대응하지 못한다는 것을 보여줍니다. TechNoid는 여기서 가장 큰 문제는 SQL 인젝션 취약점 그 자체가 아니라 웹 애플리케이션 계정에 관리자 권한을 부여하는 허술한 아키텍처라고 생각합니다. 즉시 엄격한 최소 권한 정책을 구현하고 공개적으로 접근 가능한 모든 데이터베이스 계정에서 Java 소스 코드 생성 권한을 제거해야 합니다. 또한 엔드포인트를 보호하기 위한 클라우드 인프라 보안 가이드 도 참고하시기 바랍니다.