威胁行为者滥用 Oracle 数据库调度器攻击事件深度分析报告【红客联盟 AI 分析】

一、事件全景：Oracle 数据库调度器成企业内网突破新入口

（一）核心事件定位

（二）关键事件数据

二、攻击技术解析：从 “合法功能” 到 “内网突破” 的全链路滥用

（一）攻击链完整流程

1. 第一步：初始访问 —— 突破数据库边界

• 入口探测：攻击者扫描互联网暴露的 Oracle 监听端口（默认 1521 端口），识别未做网络隔离的数据库服务器；
• 凭据获取：通过两种方式获取权限：
  • 利用配置错误：尝试默认管理员账户（如SYS/SYSTEM）、弱密码或未及时修改的初始凭据；
  • 暴力破解：事件日志显示 “多次登录失败后出现 SYSDBA 成功连接”，证明存在凭据暴力破解行为；
• 核心突破：以 SYSDBA 身份连接数据库后，获得调用 “外部作业” 功能的权限，为后续命令执行铺路。

2. 第二步：命令执行 —— 滥用extjobo.exe组件

• 组件调用逻辑：Oracle 数据库调度器的 “外部作业” 功能本用于管理员执行系统维护命令，攻击者借此调用extjobo.exe，以OracleJobScheduler 服务权限运行恶意命令，调用格式如下：
  bash

  extjobo.exe -noservice -exec C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -EncodedCommand JABjAD0AbgBl…
  

• 关键规避手段：
  • 绕过脚本执行策略：通过-ep Bypass参数关闭 PowerShell 脚本执行限制；
  • Base64 编码注入：将恶意 PowerShell 脚本编码后直接传入内存，不落地磁盘，规避文件级检测。

3. 第三步：系统侦察 ——“靠地生存” 的无文件探测

# 收集CPU、内存硬件信息
$cpu = Get-CimInstance -ClassName Win32_Processor
$ram = Get-CimInstance -ClassName Win32_ComputerSystem
Write-Host $cpu.Name, $cpu.NumberOfLogicalProcessors, [math]::Round($ram.TotalPhysicalMemory/1GB,2)

# 收集文件系统、操作系统、端口配置
Get-PSDrive -PSProvider FileSystem  # 查看磁盘分区
Get-WmiObject -Class Win32_OperatingSystem | Select-String 'OS Name'  # 查看系统版本
Get-ItemProperty -Path HKLM:\Server-Tcp -Name PortNumber  # 查看服务器端口配置

4. 第四步：持久化与横向渗透

• 建立持久控制：创建名为 “Admine” 的本地管理员账户，通过该账户实现长期登录；
• C2 通信：建立加密隧道连接外部 C2 服务器，下载次级有效载荷（如勒索软件、后门）；
• 痕迹清理：删除临时批处理文件、计划任务及攻击日志，阻碍事后法医分析；
• 横向移动：利用数据库服务器的高权限，通过 SMB/RDP 协议渗透企业内网其他主机，扩大攻击范围。

（二）攻击技术核心特点

1. “信任滥用” 突破网络分段：企业虽对网络进行分段隔离数据库服务器，但因默认信任 “Oracle 数据库调度程序进程”，导致攻击者借合法功能绕过边界防御；
2. “无文件攻击” 规避检测：全程依赖extjobo.exe与原生 PowerShell，无自定义恶意文件落地，规避基于 “文件特征码” 的传统检测；
3. “高权限执行” 扩大危害：extjobo.exe以 OracleJobScheduler 服务权限运行，等同于系统高权限，可直接执行账户创建、隧道建立等关键操作。

三、典型案例：某企业勒索软件攻击事件

1. 攻击者扫描到该企业暴露的 Oracle 1521 端口，通过暴力破解获取 SYSDBA 账户凭据；
2. 调用extjobo.exe执行编码 PowerShell 脚本，收集服务器硬件与系统信息（确认存在大量生产数据）；
3. 从 C2 服务器下载勒索软件，以 “数据库维护” 名义加密生产数据文件（如 ERP 系统数据库）；
4. 创建 “Admine” 本地账户，删除攻击日志后，留下勒索字条要求以门罗币支付赎金；
5. 企业因未及时检测，导致生产系统瘫痪 3 天，最终支付 12 万美元赎金恢复数据。

四、防御建议：从 “权限管控” 到 “行为监测” 的全维度防护

（一）紧急防御措施（72 小时内）

1. 限制数据库外部访问：
   • 立即关闭互联网暴露的 Oracle 监听端口（1521），通过 VPN 或内网专线访问数据库；
   • 排查默认账户与弱密码：修改SYS/SYSTEM等管理员账户密码，禁用长期未使用的数据库账户。
2. 管控 “外部作业” 功能权限：
   • 回收非必要账户的 “调度器权限”，仅允许数据库管理员（DBA）使用 “外部作业” 功能；
   • 禁用extjobo.exe组件（若业务无需）：删除extjobo.exe执行权限，或通过组策略限制其调用。
3. 紧急日志审计：
   • 检查 Oracle 数据库日志，筛选 “SYSDBA 成功连接”“extjobo.exe 调用” 相关记录，确认是否存在异常；
   • 查看 Windows 安全日志，排查 “本地管理员账户创建”（如 “Admine”）、“异常 PowerShell 编码执行” 事件。

（二）长效防护策略（30 天内）

1. 权限最小化配置：
   • 为 OracleJobScheduler 服务配置低权限账户（避免使用 Local System 权限），限制其对系统文件、注册表的访问；
   • 启用 Oracle 数据库的 “细粒度权限控制”，禁止普通账户调用 “外部作业” 相关存储过程。
2. 部署针对性检测规则：
   • 监控extjobo.exe进程行为：若出现 “调用 PowerShell+Base64 编码参数”，立即触发告警；
   • 监测命名管道活动：Oracle 调度器使用的命名管道（如ORACLEDBS相关管道）若存在非预期访问，及时阻断；
   • 检测异常 PowerShell：监控 “-EncodedCommand参数 + 无文件执行” 的 PowerShell 进程，关联数据库服务器上下文。
3. 加强数据库安全加固：
   • 启用 Oracle 数据库审计功能，记录 “外部作业调用”“SYSDBA 登录” 等关键操作，日志留存至少 90 天；
   • 定期扫描数据库配置漏洞（如默认凭据、过度权限），使用 Oracle 官方工具（如 Oracle Database Security Assessment Tool）进行安全评估。
4. 员工安全培训：
   • 对数据库管理员（DBA）开展专项培训，强调 “外部作业” 功能的安全风险，禁止随意授予相关权限；
   • 培养 IT 团队对 “无文件攻击” 的识别能力，熟悉extjobo.exe、编码 PowerShell 等攻击特征。