Cibercriminosos transformaram um banco de dados Oracle em ponto de controle remoto para assumir um servidor Windows. O ataque começou por uma falha de injeção de SQL em uma aplicação Java e Tomcat exposta à internet. A entrada vulnerável estava em um recurso de busca com preenchimento automático que não validava corretamente os dados enviados.
Os comandos maliciosos chegaram ao Oracle pela conexão JDBC usada pela aplicação. Em vez de instalar imediatamente um executável no disco, os invasores criaram objetos Java dentro do próprio banco. O código foi compilado e armazenado como parte do esquema, dificultando a detecção por antivírus e ferramentas focadas no sistema operacional.
O toolkit, chamado khunt, incluía módulos para executar comandos do Windows, navegar por arquivos, extrair usuários e senhas do Oracle, descompactar conteúdos e verificar se o acesso continuava ativo. Um dos componentes abriu o cmd.exe e confirmou que os comandos eram executados com privilégios SYSTEM. Isso permitiu aos operadores avançar do banco de dados para o controle do servidor Windows.
Os criminosos copiaram os registros SAM, SECURITY e SYSTEM, que armazenam informações usadas na autenticação local. Esses arquivos podem ser analisados posteriormente para recuperar hashes de senhas e ampliar o comprometimento da rede.
O incidente não envolveu uma vulnerabilidade inédita no Oracle. A invasão explorou validação inadequada na aplicação e permissões excessivas concedidas à conta responsável pela comunicação com o banco.
