Исследователи Cynet в октябре 2026 года зафиксировали попытки запуска PowerShell-команд для создания reverse shell на нескольких серверах Qlik Sense. Активность затронула нескольких клиентов в странах ЕС и уложилась в промежуток немногим более трёх минут. Попытки установить reverse-shell-сеанс были заблокированы, а использованный вектор первоначального доступа не установлен. При этом само выполнение PowerShell-команды из scheduler.exe на серверах наблюдалось.
Команды CyOps и Research компании Cynet отметили частичное сходство с вторжениями, которые в ноябре 2023 года связывали с операцией-вымогателем CACTUS. По данным Arctic Wolf, операторы, вероятно связанные с CACTUS, использовали недавно раскрытые тогда уязвимости Qlik Sense для первоначального доступа.
Уязвимости Qlik Sense 2023 года
Речь идёт об уязвимостях Qlik Sense Enterprise для Windows, для которых Qlik выпускала исправления в августе и сентябре 2023 года:
- CVE-2023-41265 с оценкой CVSS 9,6 — проблема HTTP-туннелирования, позволяющая повысить привилегии и направлять HTTP-запросы к внутреннему серверу, на котором работает приложение-репозиторий;
- CVE-2023-41266 с оценкой CVSS 8,2 — уязвимость обхода путей. Неаутентифицированный удалённый атакующий мог создать анонимную сессию и обращаться по HTTP к недоступным конечным точкам;
- CVE-2023-48365 с оценкой CVSS 9,6 — возможность удалённого выполнения кода без аутентификации из-за некорректной проверки HTTP-заголовков. Она позволяет повышать привилегии через HTTP-туннелирование и выполнять запросы к внутреннему серверу.
CVE-2023-48365, также известная как DoubleQlik, была неполным исправлением CVE-2023-41265. В кампании CACTUS 2023 года эти недостатки применялись для первоначального доступа, после чего загружались дополнительные компоненты, использованные для закрепления и удалённого управления. Для сохранения доступа и удалённого управления тогда разворачивались ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk и Plink.
PowerShell из scheduler.exe
В октябрьской активности использовалась PowerShell-команда с однострочным reverse shell, который должен был подключиться к 45.115.26[.]23 на порту 4455. Команда выполнялась из процесса scheduler.exe — это совпадает с ранее описанными вторжениями в Qlik Sense, связанными с CACTUS в 2023 году. При этом исследователи не установили, какая именно уязвимость или иной способ доступа применялся в новых попытках.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
В контролируемой среде Cynet проверила работу reverse shell. По результатам теста интерактивный канал может применяться для разведки и доставки PowerShell-скрипта, обеспечивающего постоянный доступ. Далее используется написанный на Go бэкдор для Windows, который подключается к 45.115.26[.]23:4456 и ищет запущенные процессы, связанные с Apache ActiveMQ.
Если для разбора запусков PowerShell из scheduler.exe, проверки конфигурации Qlik Sense и поиска следов закрепления недостаточно внутренних ресурсов, к этой задаче могут быть привлечены услуги ИТБ по информационной безопасности. Это особенно актуально, когда требуется сопоставить сетевые соединения, изменения служб и задачи планировщика в рамках одной проверки.
Для Linux этот вредоносный компонент также пытается собрать сведения о системе и прочитать файлы /etc/shadow и /etc/passwd.
Закрепление через OpenSSH
Другой вариант PowerShell-скрипта пытается установить OpenSSH и создать задачу планировщика WinUpdCheck. Она раз в пять минут запускает PowerShell reverse shell, сохранённый в C:\ProgramData\ssh\winc.ps1.
Если служба sshd недоступна, скрипт скачивает с промежуточного сервера архив OpenSSH-Win64[.]zip, распаковывает его и запускает install-sshd.ps1. Затем он настраивает автоматический запуск sshd, запускает службу и добавляет в брандмауэр правило для входящих подключений TCP/22. Использованный архив был легитимным пакетом OpenSSH, повторно применённым атакующим.
Файлы на инфраструктуре оператора
Исследователи обнаружили открытый каталог по адресу 45.115.26[.]23:8012. В нём находились настраиваемый Windows-бэкдор на Go, скрипты закрепления через SSH, эксплойт ActiveMQ для CVE-2023-46604, а также модифицированный общедоступный набор инструментов для Veeam, относящийся к CVE-2024-40711.
Наличие этих файлов не доказывает, что эксплойты ActiveMQ или Veeam уже применялись в описанных попытках против Qlik Sense. Однако оно указывает, что оператор мог готовить инфраструктуру для более масштабных атак.
Для российских организаций подтверждённых атак в этих данных нет. Практически стоит проверить, что Qlik Sense Enterprise для Windows обновлён с учётом исправлений 2023 года, а также проанализировать запуск PowerShell дочерними процессами scheduler.exe. Отдельного внимания требуют соединения с 45.115.26[.]23 на портах 4455, 4456 и 8012, задача WinUpdCheck, файл C:\ProgramData\ssh\winc.ps1, несанкционированная установка или изменение конфигурации OpenSSH и новые правила входящего доступа к TCP/22. Наличие таких признаков следует рассматривать как повод проверить Qlik Sense, ActiveMQ и Veeam-системы на возможное развитие атаки.