Hackers run khunt post-exploitation toolkit from Oracle database

Compromission via Oracle : Le toolkit “khunt”

Des attaquants ont compromis un réseau d’entreprise en exploitant une vulnérabilité d’injection SQL dans une application Java publique (Apache Tomcat). Cette faille a permis d’installer directement au sein d’une base de données Oracle le toolkit de post-exploitation “khunt”, tirant parti de la machine virtuelle Java intégrée à Oracle pour exécuter des commandes système avec des privilèges élevés.

Points clés

• Technique d’attaque : Utilisation de l’instruction CREATE JAVA SOURCE pour compiler et stocker des objets malveillants directement dans le schéma de la base de données, contournant ainsi le besoin de déposer des fichiers exécutables sur le serveur.
• Capacités du toolkit :
  • Exécution de commandes système (KhuntCmd).
  • Vol d’identifiants et extraction de ruches de registre (KhuntHash).
  • Navigation et gestion de fichiers (KhuntFS, KhuntUnzip).
• Impact : Obtention de privilèges système (niveau SYSTEM) sur le serveur Windows hôte, permettant l’énumération des services et la tentative de récupération de hachages de mots de passe.

Vulnérabilités

• Injection SQL : Causée par une validation défaillante des entrées utilisateur dans une fonction de recherche en auto-complétion. (CVE non spécifiée, vulnérabilité applicative).

Recommandations

• Assainissement des entrées : Appliquer une validation stricte de toutes les données fournies par les utilisateurs pour neutraliser les injections SQL.
• Principe du moindre privilège : Restreindre sévèrement les droits des comptes de base de données utilisés par les applications publiques.
• Durcissement : Empêcher les comptes applicatifs de créer des sources Java, d’exécuter des procédures stockées inutiles ou d’effectuer des tâches administratives sur le système hôte.

Source