มีรายงานพบการโจมตี แฮกเกอร์ใช้ช่องโหว่ SQL Injection บนเว็บแอปพลิเคชันเป็นทางเข้าสู่ Oracle Database ก่อนฝังเครื่องมือโจมตีที่ชื่อว่า khunt ไว้ภายในฐานข้อมูล และใช้เป็นช่องทางรันคำสั่งบน Windows Server ด้วยสิทธิ์ระดับ SYSTEM ซึ่งถือเป็นสิทธิ์ระดับสูงของระบบ
การโจมตีนี้ถูกค้นพบโดย Huntress เมื่อวันที่ 27 กรกฎาคม 2026 ที่ผ่านมา หลังระบบรักษาความปลอดภัยตรวจพบพฤติกรรมที่เกี่ยวข้องกับการขโมย Credential บนเซิร์ฟเวอร์ที่ใช้งาน Oracle Database จึงเริ่มตรวจสอบย้อนหลังเพื่อหาว่าแฮกเกอร์เข้ามาในระบบได้อย่างไร
จากการตรวจสอบ Apache access logs พบว่า ต้นทางมาจากเว็บแอปพลิเคชัน Java ที่เปิดให้เข้าถึงผ่านอินเทอร์เน็ตและทำงานอยู่บน Apache Tomcat โดยจุดที่ถูกใช้โจมตีคือฟีเจอร์ค้นหาแบบ Autocomplete ที่ตรวจสอบข้อมูลผู้ใช้กรอกเข้ามาไม่รัดกุม ทำให้แฮกเกอร์สามารถแทรกคำสั่ง SQL ผ่านช่องค้นหา และส่งคำสั่งเหล่านั้นต่อไปยัง Oracle Database ได้
นอกจากนี้ จากการตรวจสอบ Log ยังพบว่า คำขอที่ใช้โจมตีระบบถูกส่งมาจาก IP Address 178.162.151[.]229. ซึ่งได้ระบุว่าเป็นต้นทางของคำขอที่เป็นอันตรายในการโจมตีครั้งนี้
รูปแบบการโจมตี
หลังจากเข้าถึง Oracle Database ได้แล้ว แฮกเกอร์เริ่มขยายการโจมตีด้วยการนำ khunt ที่เป็น Post-exploitation Toolkit ไปฝังไว้ภายใน Database ในรูปแบบ Java Object แทนการติดตั้งเป็นไฟล์มัลแวร์ลงบนเซิร์ฟเวอร์โดยตรง
สาเหตุที่สามารถทำวิธีการนี้ได้ เพราะ Oracle Database รองรับการทำงานของ Java ผ่าน Java Virtual Machine (JVM) อีกทั้งยังมีคำสั่ง CREATE JAVA SOURCE ที่สามารถนำ Source Code ภาษา Java เข้าไปเก็บและ Compile ไว้ภายใน Database ได้
เมื่อมีสิทธิ์เพียงพอ โค้ดเหล่านี้สามารถเรียกใช้งานผ่านคำสั่ง SQL และนำไปสู่การรันคำสั่งบนระบบปฏิบัติการของเซิร์ฟเวอร์ได้ แฮกเกอร์จึงนำความสามารถนี้มาใช้เป็นช่องทางเรียกใช้ khunt และสั่งงาน Windows Server ต่อจากภายใน Oracle Database
จุดนี้ทำให้การโจมตีครั้งนี้น่ากังวล เพราะเครื่องมือโจมตีถูกซ่อนอยู่ภายใน Database แทนที่จะอยู่ในรูปแบบไฟล์บนเซิร์ฟเวอร์ ทำให้การตรวจหาความผิดปกติอาจทำได้ยากขึ้น
ผลกระทบหลังติดตั้ง khunt สำเร็จ
หลังติดตั้ง khunt สำเร็จ แฮกเกอร์สามารถใช้เครื่องมือนี้รันคำสั่งบน Windows Server ค้นหาและอ่านไฟล์ รวมถึงเข้าถึงข้อมูลที่อาจนำไปใช้ขโมย Credential ได้
ในการโจมตีครั้งนี้ แฮกเกอร์ใช้ KhuntCmd เรียก cmd.exe และทดสอบด้วยคำสั่ง whoami ซึ่งผลลัพธ์ยืนยันว่า คำสั่งที่เรียกผ่าน Oracle Database สามารถทำงานบน Windows Server ด้วยสิทธิ์ระดับ SYSTEM
นอกจากนี้ ยังพบการใช้ PowerShell และเครื่องมือของ Windows เพื่อคัดลอกข้อมูลสำคัญจาก Windows Registry ได้แก่ SAM, SECURITY และ SYSTEM ซึ่งสามารถนำไปใช้ดึง Password Hash ของบัญชีภายในเครื่อง และอาจนำไปใช้ขโมยข้อมูลสำหรับเข้าถึงบัญชีหรือระบบต่อได้
ขณะเดียวกัน แฮกเกอร์ยังใช้คำสั่ง tasklist /svc เพื่อตรวจสอบ Service ที่กำลังทำงานอยู่บนเครื่อง และบันทึกผลลัพธ์ไว้ในไฟล์ khunttasks.txt
Huntress คาดว่าข้อมูล Registry ที่ถูกคัดลอกอาจถูกเตรียมนำออกจากระบบเพื่อนำไปใช้ขโมย Credential อย่างไรก็ตาม รายงานยังไม่สามารถยืนยันได้ว่าแฮกเกอร์นำข้อมูลดังกล่าวออกไปได้สำเร็จหรือไม่
สิ่งที่ผู้ดูแลระบบควรตรวจสอบ
- ตรวจสอบและกรองข้อมูลที่ผู้ใช้ส่งเข้ามาอย่างรัดกุม เพื่อป้องกันไม่ให้แฮกเกอร์แทรกคำสั่ง SQL ผ่านเว็บแอปพลิเคชัน
- จำกัดสิทธิ์ของ Database Account ที่แอปพลิเคชันใช้เชื่อมต่อกับฐานข้อมูล ให้มีเฉพาะสิทธิ์ที่จำเป็นต่อการทำงาน
- ไม่ให้ Database Account ของแอปพลิเคชันที่เปิดให้เข้าถึงจากอินเทอร์เน็ตมีสิทธิ์สูงเกินไป เช่น สิทธิ์สร้าง Java Source เรียกใช้ Stored Procedure ที่ไม่จำเป็น หรือดำเนินการในระดับผู้ดูแลระบบ
ช่องโหว่บนเว็บเพียงจุดเดียวอาจเปิดทางให้แฮกเกอร์ขยายการโจมตีจาก Web Application ไปถึง Database และ Server ได้
การตรวจสอบช่องโหว่ควบคู่กับการจำกัดสิทธิ์การเข้าถึงระบบให้เหมาะสม จึงเป็นสิ่งที่องค์กรไม่ควรมองข้าม
สำหรับธุรกิจที่ต้องการ Server สำหรับเว็บไซต์หรือระบบขององค์กร hostatom มีบริการ Cloud VPS และ Dedicated Server พร้อมทีมผู้เชี่ยวชาญคอยให้คำแนะนำและดูแล เพื่อให้ระบบทำงานได้อย่างมั่นคงและพร้อมรองรับการใช้งานของธุรกิจ
ที่มา: BleepingComputer
