LONDON (IT BOLTWISE) – Angreifer kombinieren eine SQL-Injection in einer public-facing Webanwendung mit Oracle-eigener Java-Compilierung, um aus der Datenbank heraus direkt auf ein Windows-System als SYSTEM zuzugreifen. Laut einer Untersuchung entstand die Verbindung über ein unvalidiertes Autocomplete-Feld, das per JDBC Java-Quellcode in die Datenbank brachte. Danach ließen sich OS-Kommandos aus dem Datenbank-Engine-Kontext heraus ausführen und anschließend sensible Registry-Hives und Hash-Daten abziehen. Entscheidend für die Verteidigung: Es gibt keinen klassisch auf die Platte geschriebenen Dropper, stattdessen müssen Oracle-Objektnamen und SQL-Logs gezielt geprüft werden.
Wer in der Praxis nur nach typischen Malware-Artefakten sucht, kann bei diesem Angriffsmuster leicht danebenliegen. Der Kern der beobachteten Kette ist, dass Angreifer nach einer SQL-Injection in eine Oracle-Datenbank nicht einfach eine Datei ablegen und starten, sondern Java-Quellcode direkt an Oracle übergeben. Oracle kompiliert diesen Code anschließend zu gespeicherten Schemaobjekten und die Kontrolle läuft damit zunächst innerhalb der Datenbank-Engine. In der Folge kippt das klassische Bild „Datenbank ist nur ein Zielsystem“ hin zu „Datenbank wird zur Startbasis für weitere Angriffe“ – ein Wechsel, den viele Endpoint-Detection-Ansätze nicht im Detail abdecken.
Ausgangspunkt war eine öffentliche Webanwendung mit einem Autocomplete-Suchfeld. Das Feld übergab nach Angaben aus der Untersuchung unvalidierten Benutzereingaben über eine JDBC-Verbindung an die Datenbank, sodass eine SQL-Injection möglich wurde. Der Datenbank-Account, der hinter der JDBC-Verbindung stand, besaß offenbar genügend Rechte, um benötigte Java-Objekte im Schema zu erzeugen. Genau diese Kombination aus (1) anfälliger Eingabekette und (2) zu weitreichenden Datenbankprivilegien war damit der entscheidende „Hebel“, denn ohne die passende Berechtigung kann Oracle zwar Java kompiliieren, aber nicht in der Qualität, die für die nachgelagerte Kommandofähigkeit gebraucht wird.
Die von Huntress untersuchte Werkzeugfamilie trägt den Namen khunt. Laut Analyse bestand das Toolkit aus mehreren Java-Objekten sowie mehreren PL/SQL-Wrappern; auffällig ist dabei, dass das Geschehen ohne „klassisches“ Executable-to-disk ablaufen soll. Ein Objekt wie „KhuntCmd“ sollte cmd.exe laden und beliebige Betriebssystemkommandos ausführen, die als SQL-Parameter übergeben wurden. „KhuntHash“ zielte auf Benutzerinformationen in Oracle-interner Struktur: Es las Hash-Daten aus und schrieb sie in Form von Dateien. Weitere Komponenten wie „KhuntFS“ und „KhuntFS2“ übernahmen Dateiorientierte Funktionen (Auflisten, Lesen, Suchen, Größenbestimmung), während „KhuntT“ die Erreichbarkeit der Tooling-Objekte absicherte und „KhuntUnzip“ Archivdateien entpackte.
Für die eigentliche Wirkung wurde schließlich ein OS-Kontext erreicht, der deutlich über „nur Datenbankabfrage“ hinausgeht. In der Untersuchung führte das Aufrufen von cmd.exe /c whoami über „KhuntCmd“ zu einer Ausgabe, die auf SYSTEM-Niveau hinweist. Danach nutzten die Angreifer typische Windows-Werkzeuge, um Daten abzulegen und zu sichern: PowerShell und reg.exe dienten dazu, die Registry-Hives SECURITY und SYSTEM in ein Oracle-nahes Dateiverzeichnis zu kopieren; zusätzlich wurden Prozess- und Dienstinformationen mit tasklist /svc in eine Textdatei geschrieben und SAM/SECURITY-Hives per esentutl.exe weiter verarbeitet. Huntress beobachtete dabei das lokale Staging der Dateien, konnte jedoch nicht final belegen, dass diese Daten im Anschluss tatsächlich exfiltriert wurden. Wichtig für Verteidiger ist deshalb: Selbst wenn Ausfiltration aus Sicht des Sensors nicht nachgewiesen ist, bleibt der Schadenpfad bereits durch das Erreichen von SYSTEM und das Vorhalten sensibler Artefakte kritisch.
Warum es so schwer ist, dieses Muster nur mit Standardregeln zu erkennen, liegt an der Art der „Artefakte“: Java-Klassen, die zu Oracle-Schemaobjekten kompiliert werden, sind keine Prozesse, keine Binärdateien und keine Dateien, die ein klassisches File-System-Monitoring automatisch sieht. Viele EDR- und XDR-Ansätze untersuchen in der Regel nicht „Oracle-Innereien“, sondern fokussieren auf Prozessstarts und Datei-I/O. In der praktischen Konsequenz bedeutet das für die Jagd, dass man nicht nur nach Dateinamen oder Hashes sucht, sondern nach Objekt- und Namensmustern in Oracle selbst. Huntress empfiehlt konkret, die Oracle-Installation nach Objektbezeichnern beginnend mit Khunt zu durchsuchen und in SQL-Logs nach Mustern wie KHUNT% zu suchen. Genau diese Indikatoren sind allerdings toolkit-spezifisch; eine andere Implementierung könnte ähnliche Funktionalität bieten, aber andere Namen und Parameter verwenden.
Technisch betrachtet stützt sich das Vorgehen auf Oracle-Funktionen rund um eingebettete Java-Fähigkeiten. Oracle liefert eine integrierte Java Virtual Machine mit, und per CREATE JAVA SOURCE kann ein Benutzer Java-Quellcode bereitstellen, den Oracle dann in gespeicherte Schemaobjekte umsetzt. Dass ein Angreifer dadurch OS-Kommandos auslösen kann, hängt an der Privilegienkette. In eigenen Nutzer-Schemata nennt Oracle in der Dokumentation als Hürde unter anderem das Systemrecht CREATE PROCEDURE. Für das Spawnen eines Betriebssystemprozesses über Runtime.exec wären zudem zusätzliche Berechtigungen auf Betriebssystemebene nötig; laut Einordnung im Untersuchungsbericht wurden diese von hochprivilegierten Administratoren vergeben. Huntress nennt dabei keine Details, welche Grants der kompromittierte Account konkret hielt, aber die erfolgreiche Kette zeigt, dass die Berechtigungen in Summe sowohl das Erstellen der Java-Objekte als auch das notwendige Wegschalten in Richtung OS-Kommandos ermöglicht haben müssen.
Der methodische Hintergrund reicht deutlich länger zurück als die aktuelle Beobachtung: Die Technik wird seit mindestens zwei Jahrzehnten diskutiert. Im Jahr 2006 beschrieb Marco Ivaldi mit raptor_oraexec.sql bereits ein Setup, das Oracle-Quellobjekte mit Methoden für Kommandoausführung und Dateizugriff erzeugt und über PL/SQL-Wrappers publik macht; die khunt-Objekte nutzen laut Analyse eine ähnlich aufgebaute Architektur. Dass die Verwendung „in the wild“ selten dokumentiert wurde, heißt nicht, dass sie selten möglich ist – sondern eher, dass viele Organisationen die relevanten Telemetrieschichten nicht in der richtigen Tiefe auswerten. Für die Absicherung ergibt sich deshalb ein zweigleisiger Ansatz: Erstens müssen parameterisierte Queries und Input-Validierung im betroffenen Application-Flow die SQL-Injection verhindern. Zweitens braucht es Least-Privilege im Datenbank-Umfeld so, dass ein Account für eine public-facing App keine Java-Quellobjekte autorisieren kann und keine unnötigen Stored-Procedure- oder Ausführungsrechte erhält. Damit lässt sich der Angriff bereits an der frühesten Stelle stoppen, bevor Oracle zu einem „Compiler für Missbrauch“ wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Hacker nutzen Oracle-Compilierung von Java für SYSTEM-Zugriff per SQL-Injection" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Hacker nutzen Oracle-Compilierung von Java für SYSTEM-Zugriff per SQL-Injection" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Hacker nutzen Oracle-Compilierung von Java für SYSTEM-Zugriff per SQL-Injection« bei Google Deutschland suchen, bei Bing oder Google News!