Was ist passiert?
Angreifer exploitierten eine SQL-Injection-Schwachstelle in einer öffentlich zugänglichen Webanwendung, um Zugriff auf eine Oracle-Datenbank zu erlangen. Statt konventionelle Malware auf die Festplatte zu schreiben, nutzten sie eine innovative Methode: Sie injizierten Java-Quellcode direkt in die Datenbank, ließen Oracle diesen kompilieren und führten Befehle aus dem Datenbank-Engine heraus aus. Das als „khunt“ bekannte Post-Exploitation-Toolkit ermöglichte ihnen letztlich, SYSTEM-Zugriff auf Windows-Systemen zu erlangen.
Hintergrund & Bedeutung
Diese Angriffsmethode stellt eine erhebliche Sicherheitsherausforderung dar, da sie traditionelle Endpoint-Detection-Systeme umgeht. Durch die Verlagerung der Aktivitäten in die Datenbank vermeiden Angreifer Festplattenzugriffe, die normalerweise erkannt werden würden. Die Kompilierung von Code innerhalb der Oracle-Instanz ermöglicht es ihnen, ihre Aktivitäten tiefer im System zu verschleiern. Dies unterstreicht, wie kritisch nicht nur die Anwendungssicherheit, sondern auch der Schutz von Datenbank-Engines ist.
Empfehlungen fuer IT-Teams
Sofortmassnahmen: Überprüfen Sie alle öffentlich zugänglichen Webanwendungen auf SQL-Injection-Schwachstellen und patchen Sie diese umgehend. Implementieren Sie Input-Validierung und PreparedStatements. Verwenden Sie Web Application Firewalls (WAF) zur Abwehr von Injection-Attacken. Deaktivieren Sie unnötige Java-Funktionen in Oracle-Datenbanken. Überwachen Sie Datenbank-Aktivitäten auf verdächtige Kompilierungen und Befehle. Setzen Sie starke Authentifizierung und Netzwerk-Segmentierung um, um laterale Bewegungen zu erschweren.
Fazit
Der khunt-Toolkit zeigt, dass Angreifer sich zunehmend in die Tiefenschichten von Systemen verlagern. Ein mehrschichtiges Sicherheitskonzept mit regelmäßigen Sicherheitsprüfungen ist essentiell, um solche Attacken frühzeitig zu erkennen und zu verhindern.
Quelle: Original Artikel