⚡ Não perca: notícia importante no ar! ⚡
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Os hackers exploraram uma vulnerabilidade de injeção de SQL para instalar um kit de ferramentas pós-exploração diretamente dentro de um banco de dados Oracle que foi usado para violar uma rede corporativa.
O ataque foi descoberto pela Huntress em 27 de julho de 2026, depois que sua plataforma de segurança detectou roubo de credenciais em um servidor que hospedava um servidor de banco de dados Oracle.
Os logs de acesso do Apache mostraram que os invasores obtiveram acesso por meio de um endpoint de mecanismo de pesquisa vulnerável em um aplicativo Java público executando o Apache Tomcat.
O aplicativo não conseguiu validar adequadamente as entradas enviadas por meio de um recurso de pesquisa de preenchimento automático que permitiu aos invasores emitir comandos SQL para o banco de dados Oracle.
A Huntress rastreou as solicitações maliciosas até o endereço IP 178.162.151[.]229.
khunt Toolkit armazenado dentro do Oracle
Depois de explorar a falha de injeção de SQL, os invasores instalaram um kit de ferramentas pós-exploração chamado khunt diretamente no banco de dados Oracle como um objeto Java.
A Oracle tem uma Java Virtual Machine incorporada e a instrução CREATE JAVA SOURCE, que permite que o código-fonte Java seja armazenado e compilado como um objeto de esquema de banco de dados.
Esses objetos Java podem então ser executados por meio de comandos SQL, que, se configurados para isso, podem executar comandos no sistema operacional host.
Os invasores abusaram dessa funcionalidade para compilar e armazenar o kit de ferramentas khunt diretamente no banco de dados Oracle, em vez de implantá-los como arquivos executáveis no servidor.
“O uso da técnica na natureza raramente foi documentado”, disse Huntress.
O kit de ferramentas continha vários componentes Java e wrappers PL/SQL que podiam executar comandos, roubar credenciais e gerenciar arquivos.
Esses componentes incluíam:
KhuntCmd, que lançou o cmd.exe e permitiu que invasores executassem comandos do sistema operacional por meio de instruções SQL.
KhuntHash, que acessou a tabela interna de usuários da Oracle e gravou nomes de usuário e dados de senha em um arquivo.
KhuntFS e KhuntFS2, que forneciam recursos de navegação, leitura, pesquisa e verificação de tamanho de arquivo.
KhuntT, que funcionou como um teste semelhante a um ping para confirmar que o kit de ferramentas foi instalado com sucesso.
KhuntUnzip, que extraiu arquivos compactados.
Os invasores usaram KhuntCmd para executar cmd.exe /c whoami, confirmando que os comandos executados por meio do banco de dados Oracle tinham permissões de nível de SISTEMA no servidor Windows.
Em seguida, eles usaram utilitários do PowerShell e do Windows para copiar as seções de registro SAM, SECURITY e SYSTEM, que podem ser usadas para recuperar hashes de senha para contas locais do Windows.
Os invasores também executaram tasklist /svc para enumerar os serviços em execução e salvaram a saída em khunttasks.txt.
A Huntress disse que as seções do registro provavelmente foram exfiltradas para despejo de credenciais, mas o relatório não confirma se os arquivos foram roubados com sucesso.
Como regra geral, as organizações devem limpar todas as validações de entrada fornecidas pelo usuário e limitar os privilégios concedidos às contas de banco de dados do aplicativo.
A Huntress recomenda que as contas de banco de dados usadas em aplicativos públicos não tenham privilégios altos o suficiente para criar fontes Java, executar procedimentos armazenados desnecessários ou realizar outras ações administrativas.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o whitepaper
O ataque foi descoberto pela Huntress em 27 de julho de 2026, depois que sua plataforma de segurança detectou roubo de credenciais em um servidor que hospedava um servidor de banco de dados Oracle.
Os logs de acesso do Apache mostraram que os invasores obtiveram acesso por meio de um endpoint de mecanismo de pesquisa vulnerável em um aplicativo Java público executando o Apache Tomcat.
O aplicativo não conseguiu validar adequadamente as entradas enviadas por meio de um recurso de pesquisa de preenchimento automático que permitiu aos invasores emitir comandos SQL para o banco de dados Oracle.
A Huntress rastreou as solicitações maliciosas até o endereço IP 178.162.151[.]229.
khunt Toolkit armazenado dentro do Oracle
Depois de explorar a falha de injeção de SQL, os invasores instalaram um kit de ferramentas pós-exploração chamado khunt diretamente no banco de dados Oracle como um objeto Java.
A Oracle tem uma Java Virtual Machine incorporada e a instrução CREATE JAVA SOURCE, que permite que o código-fonte Java seja armazenado e compilado como um objeto de esquema de banco de dados.
Esses objetos Java podem então ser executados por meio de comandos SQL, que, se configurados para isso, podem executar comandos no sistema operacional host.
Os invasores abusaram dessa funcionalidade para compilar e armazenar o kit de ferramentas khunt diretamente no banco de dados Oracle, em vez de implantá-los como arquivos executáveis no servidor.
“O uso da técnica na natureza raramente foi documentado”, disse Huntress.
O kit de ferramentas continha vários componentes Java e wrappers PL/SQL que podiam executar comandos, roubar credenciais e gerenciar arquivos.
Esses componentes incluíam:
KhuntCmd, que lançou o cmd.exe e permitiu que invasores executassem comandos do sistema operacional por meio de instruções SQL.
KhuntHash, que acessou a tabela interna de usuários da Oracle e gravou nomes de usuário e dados de senha em um arquivo.
KhuntFS e KhuntFS2, que forneciam recursos de navegação, leitura, pesquisa e verificação de tamanho de arquivo.
KhuntT, que funcionou como um teste semelhante a um ping para confirmar que o kit de ferramentas foi instalado com sucesso.
KhuntUnzip, que extraiu arquivos compactados.
Os invasores usaram KhuntCmd para executar cmd.exe /c whoami, confirmando que os comandos executados por meio do banco de dados Oracle tinham permissões de nível de SISTEMA no servidor Windows.
Em seguida, eles usaram utilitários do PowerShell e do Windows para copiar as seções de registro SAM, SECURITY e SYSTEM, que podem ser usadas para recuperar hashes de senha para contas locais do Windows.
Os invasores também executaram tasklist /svc para enumerar os serviços em execução e salvaram a saída em khunttasks.txt.
A Huntress disse que as seções do registro provavelmente foram exfiltradas para despejo de credenciais, mas o relatório não confirma se os arquivos foram roubados com sucesso.
Como regra geral, as organizações devem limpar todas as validações de entrada fornecidas pelo usuário e limitar os privilégios concedidos às contas de banco de dados do aplicativo.
A Huntress recomenda que as contas de banco de dados usadas em aplicativos públicos não tenham privilégios altos o suficiente para criar fontes Java, executar procedimentos armazenados desnecessários ou realizar outras ações administrativas.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o whitepaper
#samirnews #samir #news #boletimtec #hackers #executam #kit #de #ferramentas #pósexploração #khunt #do #banco #de #dados #oracle
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário