Hackerlar SQL injection açığı üzerinden khunt araç setini doğrudan Oracle veri tabanına yerleştirdi

Siber güvenlik şirketi Huntress, saldırganların bir SQL injection güvenlik açığını kullanarak khunt adlı istismar sonrası araç setini doğrudan Oracle veri tabanının içine yerleştirdiği bir kurumsal ağ saldırısını ortaya çıkardı.

Saldırı, Huntress'in güvenlik platformunun 27 Temmuz 2026'da Oracle veri tabanı barındıran bir sunucuda kimlik bilgisi hırsızlığı faaliyetlerini tespit etmesiyle keşfedildi.

Apache erişim günlüklerinin incelenmesi, saldırganların internete açık bir Java uygulamasındaki savunmasız arama motoru uç noktası üzerinden sisteme eriştiğini gösterdi.

OTOMATİK TAMAMLAMA ÖZELLİĞİ SQL KOMUTLARININ ÇALIŞTIRILMASINA İZİN VERDİ

Hedef Java uygulamasının Apache Tomcat üzerinde çalıştığı belirtildi.

Huntress araştırmacıları, uygulamanın otomatik tamamlama özelliği üzerinden gönderilen kullanıcı girdilerini doğru şekilde doğrulamadığını tespit etti.

Bu eksiklik saldırganların özel hazırlanmış girdiler üzerinden Oracle veri tabanına SQL komutları göndermesine olanak sağladı.

Huntress, saldırıda kullanılan kötü amaçlı isteklerin 178.162.151[.]229 IP adresinden geldiğini belirledi.

KHUNT DOĞRUDAN ORACLE İÇİNDE SAKLANDI

Saldırganlar SQL injection açığını istismar ettikten sonra khunt adlı istismar sonrası araç setini Oracle veri tabanına Java nesnesi olarak yükledi.

Oracle'ın yerleşik bir Java Virtual Machine altyapısı ve CREATE JAVA SOURCE komutu bulunuyor. Bu özellik, Java kaynak kodunun bir veri tabanı şema nesnesi olarak kaydedilmesine ve derlenmesine olanak sağlıyor.

Oluşturulan Java nesneleri daha sonra SQL komutları üzerinden çalıştırılabiliyor. Gerekli yetkilendirmelerin bulunması halinde bu mekanizma, veri tabanının çalıştığı ana işletim sistemi üzerinde komut yürütmek için de kullanılabiliyor.

Saldırganların bu özelliği kötüye kullanarak khunt bileşenlerini sunucuya geleneksel çalıştırılabilir dosyalar halinde bırakmak yerine Oracle veri tabanının içerisinde derleyip sakladığı belirlendi.

Huntress yöntemin sıra dışılığına dikkati çekerek, “Bu tekniğin gerçek saldırılarda kullanımı nadiren belgelenmiştir.” açıklamasını yaptı.

KHUNT KOMUT ÇALIŞTIRMA VE KİMLİK BİLGİSİ ÇALMA ÖZELLİKLERİ İÇERİYOR

Araştırmacılara göre khunt araç seti, birden fazla Java bileşeni ve PL/SQL sarmalayıcısından oluşuyor.

Bileşenler saldırganlara işletim sistemi komutlarını çalıştırma, kimlik bilgilerini ele geçirme ve dosyaları yönetme imkânı sağlıyor.

KhuntCmd, cmd.exe sürecini başlatarak saldırganların SQL ifadeleri üzerinden işletim sistemi komutları çalıştırmasına olanak tanıyor.

KhuntHash, Oracle'ın dahili kullanıcı tablosuna erişerek kullanıcı adları ve parola verilerini bir dosyaya yazıyor.

KhuntFS ve KhuntFS2, dosyaların listelenmesi, okunması ve aranmasının yanı sıra dosya boyutlarının kontrol edilmesini sağlıyor.

KhuntT, araç setinin hedef veri tabanına başarıyla kurulup kurulmadığını doğrulamak için ping benzeri bir test işlevi görüyor.

KhuntUnzip ise sıkıştırılmış dosyaların çıkarılmasını sağlıyor.

WINDOWS SUNUCUSUNDA SYSTEM YETKİSİ ELDE EDİLDİ

Saldırganların KhuntCmd bileşenini kullanarak “cmd.exe /c whoami” komutunu çalıştırdığı tespit edildi.

Komutun çıktısı, Oracle veri tabanı üzerinden başlatılan işlemlerin Windows sunucusunda SYSTEM seviyesinde yetkilere sahip olduğunu doğruladı.

Bu erişim seviyesi, saldırganların veri tabanı katmanından Windows işletim sistemine geçerek saldırının kapsamını genişletmesine olanak sağladı.

SAM, SECURITY VE SYSTEM KAYIT DEFTERİ BÖLÜMLERİ KOPYALANDI

Huntress'in analizine göre saldırganlar daha sonra PowerShell ve Windows araçlarını kullanarak SAM, SECURITY ve SYSTEM kayıt defteri hive dosyalarını kopyaladı.

Söz konusu kayıt defteri bölümleri, yerel Windows hesaplarının parola hash'lerini elde etmek amacıyla kullanılabiliyor.

Araştırmacılar saldırganların bu dosyaları kimlik bilgilerini çıkarmak amacıyla sistem dışına aktarmış olabileceğini değerlendirdi.

Ancak Huntress raporunda kayıt defteri dosyalarının saldırganlar tarafından başarıyla dışarı çıkarıldığının doğrulanmadığı belirtildi.

ÇALIŞAN SERVİSLER DE LİSTELENDİ

Saldırganların keşif faaliyetleri kapsamında “tasklist /svc” komutunu da çalıştırdığı tespit edildi.

Bu komut üzerinden Windows sisteminde çalışan süreç ve servislerin listelendiği, elde edilen çıktının “khunttasks.txt” adlı dosyaya kaydedildiği bildirildi.

Saldırının böylece savunmasız web uygulamasından başlayarak SQL injection üzerinden Oracle veri tabanına, ardından da yüksek yetkili Windows işletim sistemi erişimine kadar ilerlediği ortaya çıktı.

HUNTRESS: VERİ TABANI HESAPLARININ YETKİLERİ SINIRLANDIRILMALI

Huntress, olayın internete açık uygulamalarda kullanıcı tarafından sağlanan girdilerin doğru şekilde doğrulanmasının önemini gösterdiğini bildirdi.

Kuruluşlara kullanıcı girdilerini güvenli biçimde doğrulama ve uygulamaların kullandığı veri tabanı hesaplarına yalnızca ihtiyaç duyulan minimum yetkileri verme önerisinde bulunuldu.

Huntress, özellikle internete açık uygulamalarda kullanılan veri tabanı hesaplarının Java kaynakları oluşturabilecek, gereksiz saklı yordamları çalıştırabilecek veya diğer yönetimsel işlemleri gerçekleştirebilecek kadar yüksek ayrıcalıklara sahip olmaması gerektiğini vurguladı.

Kaynak: Beykozun Sesi