Huntressは2026年7月27日、Oracleデータベースサーバーで資格情報の盗難を検出した。Apacheアクセスログによると、攻撃者はJavaアプリケーション上で動作するApache Tomcatの脆弱な検索エンジンエンドポイントからアクセスを得た。アプリケーションは自動補完機能を通じて送信された入力を十分に検証していなかったため、攻撃者はOracleデータベースにSQLコマンドを送信することができた。攻撃者は178.162.151[.]229のIPアドレスから追跡された。

攻撃者はSQLインジェクションの脆弱性を利用して、Oracleデータベースに直接Javaオブジェクトとしてkhunt Post-Exploitationツールをロードした。Oracleには組み込みのJava仮想マシンとCREATE JAVA SOURCE文があり、これによりJavaソースコードがデータベーススキーマオブジェクトとして保存およびコンパイルされる。これらのJavaオブジェクトはSQLコマンドを通じて実行可能であり、適切に構成されれば、オペレーティングシステム上でコマンドを実行できる。攻撃者はこの機能を利用してkhuntツールをOracleデータベース内で直接コンパイルおよび保存し、サーバー上で実行可能なファイルとして配布することを避けた。

Khuntツールには、コマンドを実行し、資格情報を盗み、ファイルを管理するための多くのJavaコンポーネントとPL/SQLラッパーが含まれていた。