攻撃者はWebアプリケーションを介したSQLインジェクションでOracleデータベースに侵入後、ディスク上に書き込みを行わないポストエクスプロイテーションツールセットを展開し、WindowsサーバーでSYSTEMレベルのコードを実行した。このツールセットはOracleのJavaコードをコンパイルし保存することで、データベースエンジン内からコマンドを実行した。Huntressは2026年7月27日、資格情報盗難の検知後にWindowsサーバーでのSYSTEMレベルのコード実行チェーンを追跡した。

攻撃者は未検証の入力を自動補完の検索フィールドからJDBC接続を介してデータベースに送信し、Javaオブジェクトを作成できるアカウントにアクセスした。OracleはJavaソースコードをコンパイルしスキーマオブジェクトとして保存することで、ユーザーが自分のスキーマでCREATE PROCEDUREシステム特権を持つ必要がある。ただしHuntressは攻撃者がどの特権を持っていたか明らかにしていない。

このツールセットには6つのJavaオブジェクトといくつかのkhunt_* PL/SQLラッパーが含まれる。これらはコマンド実行、ユーザー名とパスワードハッシュの読み取り、ファイル操作、アーカイブ解凍などの機能を提供する。攻撃者はcmd.exe /c whoamiコマンドでSYSTEMアクセスを取得し、その後PowerShellとreg.exeでレジストリハイブをコピーした。