핵심 요약
- 공격자는 SQL 인젝션 취약점을 통해 오라클 데이터베이스 내부에서 포스트 익스플로잇 툴킷 khunt를 실행한 정황이 확인되었다.
- 데이터베이스 자체가 명령 실행 및 추가 침투 활동의 기반으로 활용됨에 따라 외부 C2 인프라 탐지 난이도가 높아진 것으로 분석된다.
- 기업 내부 네트워크 침해의 사후 단계에 이르기까지 정황이 확인됨에 따라, DB 서버 권한 강화 및 쿼리 모니터링의 필요성이 제기된다.
이번 사례는 DBMS가 사후 침투의 은밀한 거점으로 악용될 가능성을 보여준다는 점에서 데이터베이스 내부 위협 탐지 사각지대의 필요성을 다시 한번 시사한다.
2026년 8월 초, Bleeping Computer는 공격자가 오라클 데이터베이스 내부에서 포스트 익스플로잇 툴킷 khunt를 실행한 사례를 공개했다. 본 기사는 해당 사건의 침투 사슬과 탐지 사각지대를 분석하고, 데이터베이스 중심 사후 침투에 대한 실무 대응 방향을 정리한다.
개요: 오라클 DB 안에서 툴킷이 실행되다
사건 배경 및 발견 경위
Bleeping Computer에 따르면 공격자는 오라클 데이터베이스 서버 내부에 khunt 포스트 익스플로잇 툴킷을 적재하고, 이를 기반으로 추가 활동을 수행한 정황이 포착되었다. 일반적으로 외부 C2 서버에 의존하던 사후 침투 단계가 데이터베이스 안으로 이동하면서, 보안 운영팀이 흔히 가정하던 네트워크 경계 기반 탐지 모델의 한계가 드러났다.
khunt 툴킷의 기능과 침투 사슬 내 위치
khunt는 침해 이후 권한 유지, 자격 증명 수집, 횡적 이동, 추가 페이로드 적재 등에 활용되는 포스트 익스플로잇 툴킷으로 보고된다. 즉, 초기 침투가 끝난 뒤에야 활성화되는 도구이므로 SQL 인젝션과 같은 1단계 침투 자체보다 더 깊은 단계의 통제가 요구된다.
초기 침투: SQL 인젝션에서 DB 내부 정착까지
악용된 SQL 인젝션 취약점 양상
공개된 정보에 따르면 초기 침투 벡터는 SQL 인젝션 취약점으로 판단된다. 공개된 정보에 따르면 초기 침투 벡터는 SQL 인젝션 취약점으로 추정되며, 동적 쿼리 생성 로직의 결함을 통해 DBMS 내부에서 명령이 실행된 것으로 보고된다.
DB 서버 내 권한 상승 및 툴킷 설치 경로
SQL 인젝션으로 확보한 초기 권한을 토대로 공격자는 PL/SQL 및 DBMS 기능을 활용하여 내부에서 코드를 실행하고, khunt 툴킷 구성 요소를 데이터베이스 영역에 저장한 것으로 추정된다. 이 과정에서 외부에서 별도의 바이너리를 내려받지 않아도 되는 점이 특징적이다.
데이터베이스를 C2 거점으로 쓰는 공격자
기존 탐지 체계의 한계
대부분의 기업 보안 스택은 외부 C2 서버, 비정상 아웃바운드 트래픽, 멀웨어 실행 파일을 기준으로 경보를 생성한다. 반면 khunt 사례처럼 사후 침투 활동이 데이터베이스 내부에서만 수행되면, 전통적인 엔드포인트 탐지 및 네트워크 탐지 체계가 이벤트를 후순위로 처리할 가능성이 커진다.
외부 인프라 대비 은밀성 비교
DB 내부 동작은 일상적인 관리 트래픽과 매우 유사해 구분이 어려운 것으로 보고된다. 특히 PL/SQL 호출, 저장 프로시저 실행, 패키지 로딩과 같은 정상 행위로 위장된 악성 동작은 별도 감사 규칙이 없으면 식별이 어려운 것으로 분석된다.
| 구분 | 기존 외부 C2 거점 | khunt 사례(데이터베이스 내부) |
|---|---|---|
| 주 실행 위치 | 외부 서버, 워크스테이션 메모리 | 오라클 DB 내부 |
| 탐지 신호 | 비정상 아웃바운드, 멀웨어 해시 | 비정상 PL/SQL, 감사 로그 패턴 |
| 은폐 난이도 | 중간 (네트워크 경계 노출) | 높음 (관리 트래픽과 유사) |
| 차단 대응 | IP/도메인 차단, EDR 룰 | 권한 회수, 감사 정책 강화 |
기업 환경에 대한 함의와 대응 권고
DB 감사 로그 및 PL/SQL 모니터링 강화
우선 오라클의 Fine-Grained Auditing, Unified Auditing, SYS 감사 정책을 활성화하여 PL/SQL 실행, 패키지 설치, 시스템 권한 사용 이벤트를 지속 수집할 필요가 있다. 수집된 로그는 SIEM으로 연계해 사용자 베이스라인과 비교 분석하는 것이 권고된다.
SQL 인젝션 근본 해결 및 최소 권한 원칙 재강조
khunt가 작동하려면 결국 SQL 인젝션으로 확보된 실행 컨텍스트가 필요하다는 점에서, 1차 침투 단계 차단도 동시에 병행되어야 한다. 바인드 변수 사용, 입력 검증, 저장 프로시저 호출 규약 정비와 함께, 애플리케이션 계정에 부여된 DB 권한을 최소 권한 원칙에 따라 재점검하는 절차가 권고된다.
결론: DB는 더 이상 안전한 사후 거점이 아니다
khunt 사건은 데이터베이스가 사후 침투의 안전한 거점으로 간주되던 기존 가정을 무너뜨린 사례로 해석된다. 향후에는 SQL 인젝션 차단과 DB 내부 사후 침투 탐지를 하나의 흐름으로 묶는 통합 대응 체계가 요구되며, DB 감사 로그와 권한 통제가 엔드포인트 보안과 동일한 수준으로 다뤄져야 할 것으로 보인다.
- 오라클 DB 내부에서 khunt 포스트 익스플로잇 툴킷이 실행된 사실이 Bleeping Computer를 통해 공개되었다.
- 초기 침투는 SQL 인젝션 취약점을 통해 이루어진 것으로 분석된다.
- DB를 C2 거점으로 활용하면 외부 인프라 대비 은폐 난이도가 매우 높아진다.
- 기존 EDR 및 네트워크 탐지만으로는 DB 내부 사후 침투를 충분히 잡아내기 어렵다.
- Unified Auditing, FGA, SIEM 연계를 통한 PL/SQL 및 권한 이벤트 모니터링 강화가 권고된다.
- 바인드 변수 적용과 최소 권한 원칙 재점검이 1차 침투 차단과 사후 침투 억제 양쪽에 동시에 효과적이다.