Peretas Jalankan Toolkit “khunt” Langsung dari Database Oracle Setelah Eksploitasi SQL Injection

Peneliti keamanan siber mengungkap sebuah serangan yang memanfaatkan kerentanan SQL Injection untuk memasang toolkit pasca-eksploitasi (post-exploitation toolkit) langsung ke dalam database Oracle. Teknik ini memungkinkan pelaku menjalankan perintah sistem operasi dari dalam database tanpa perlu mengunggah file executable ke server.

Insiden tersebut ditemukan oleh tim keamanan Huntress pada 27 Juli 2026 setelah sistem deteksi mereka mengidentifikasi aktivitas pencurian kredensial pada server yang menjalankan Oracle Database.

Serangan Berawal dari Aplikasi Java yang Rentan

Investigasi menunjukkan bahwa pelaku memperoleh akses melalui sebuah endpoint mesin pencarian (search engine) pada aplikasi Java yang berjalan di atas Apache Tomcat dan dapat diakses melalui internet.

Fitur autocomplete search pada aplikasi tersebut tidak memvalidasi input pengguna dengan benar sehingga memungkinkan penyerang menjalankan perintah SQL secara langsung ke database Oracle.

Huntress melacak permintaan berbahaya tersebut berasal dari alamat IP 178.162.151[.]229.

Memanfaatkan Fitur Java Bawaan Oracle

Setelah berhasil mengeksploitasi SQL Injection, pelaku tidak langsung memasang malware pada sistem operasi.

Sebaliknya, mereka memanfaatkan Java Virtual Machine (JVM) yang terintegrasi di Oracle Database untuk menyimpan toolkit bernama khunt sebagai Java Object di dalam database.

Oracle menyediakan fitur CREATE JAVA SOURCE yang memungkinkan kode Java disimpan dan dikompilasi sebagai bagian dari skema database.

Objek Java tersebut kemudian dapat dipanggil melalui perintah SQL dan, apabila konfigurasi mengizinkan, mampu menjalankan perintah pada sistem operasi host.

Menurut Huntress, teknik penyalahgunaan fitur ini sangat jarang ditemukan dalam serangan nyata.

Toolkit Memiliki Berbagai Kemampuan

Toolkit khunt terdiri atas sejumlah komponen Java dan wrapper PL/SQL yang dirancang untuk berbagai aktivitas pasca-eksploitasi.

Beberapa modul yang ditemukan meliputi:

• KhuntCmd, untuk menjalankan perintah sistem operasi melalui SQL.
• KhuntHash, untuk mengambil data pengguna dan password dari tabel internal Oracle.
• KhuntFS dan KhuntFS2, untuk menjelajahi, membaca, mencari, serta memeriksa ukuran file.
• KhuntT, untuk memastikan toolkit berhasil dipasang.
• KhuntUnzip, untuk mengekstrak file arsip.

Dengan memanfaatkan modul tersebut, pelaku dapat mengendalikan server tanpa harus menginstal aplikasi tambahan secara langsung pada sistem operasi.

Berhasil Menjalankan Perintah Sebagai SYSTEM

Penyerang menggunakan KhuntCmd untuk menjalankan perintah:

cmd.exe /c whoami

Hasilnya menunjukkan bahwa seluruh perintah yang dijalankan melalui Oracle Database memiliki hak akses SYSTEM, yaitu tingkat hak istimewa tertinggi pada sistem operasi Windows.

Setelah memastikan akses berhasil diperoleh, pelaku menggunakan PowerShell dan utilitas bawaan Windows untuk menyalin registry hive berikut:

• SAM
• SECURITY
• SYSTEM

Ketiga file tersebut umum digunakan untuk memperoleh hash password akun Windows lokal.

Selain itu, pelaku juga menjalankan perintah:

tasklist /svc

untuk mendata seluruh layanan yang sedang berjalan pada server dan menyimpan hasilnya ke dalam file khunttasks.txt.

Meskipun Huntress menduga registry hive tersebut dikirim keluar (exfiltration) untuk proses credential dumping, laporan tersebut belum dapat memastikan apakah pencurian data benar-benar berhasil dilakukan.

Rekomendasi Mitigasi

Huntress menekankan bahwa organisasi perlu menerapkan validasi input yang ketat terhadap seluruh data yang diterima dari pengguna guna mencegah serangan SQL Injection.

Selain itu, akun database yang digunakan oleh aplikasi publik sebaiknya hanya diberikan hak akses minimum dan tidak memiliki izin administratif yang memungkinkan:

• Membuat objek Java melalui CREATE JAVA SOURCE.
• Menjalankan stored procedure yang tidak diperlukan.
• Melakukan tindakan administratif lainnya.

Penerapan prinsip least privilege pada akun database dinilai menjadi salah satu langkah paling efektif untuk membatasi dampak apabila aplikasi berhasil dieksploitasi.

Sumber: Huntress