Злоумышленники были замечены при попытках атаковать серверы Qlik Sense с целью безуспешной доставки команд PowerShell reverse shell в октябре 2026 года. Команды CyOps и исследовательская группа Cynet выявили подозрительную активность в октябре 2026 года, направленную против нескольких клиентов из ЕС в течение короткого промежутка времени, чуть более трех минут. Эта активность имеет определенное сходство с кампанией в ноябре 2023 года, задокументированной Arctic Wolf, в ходе которой злоумышленники, связанные с операцией вымогателей CACTUS, вероятно, использовали недавно обнаруженные уязвимости в Qlik Sense для получения первоначального доступа к целевым средам. Уязвимости, которые были исправлены Qlik Sense в августе и сентябре 2023 года, затрагивают Qlik Sense Enterprise для Windows. Стоит отметить, что CVE-2023-48365 (также известная как DoubleQlik) является неполным исправлением для CVE-2023-41265. В ходе кампании вымогателей CACTUS в ноябре 2023 года злоумышленники использовали эти уязвимости для закрепления в системе и загрузки дополнительных полезных нагрузок для обеспечения постоянства и удаленного управления путем развертывания ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk и Plink. Последняя активность, обнаруженная Cynet, включает использование команды PowerShell с однострочным reverse shell, который подключается к “45.115.26[.]23” на порту 4455. Точная уязвимость, использованная для взлома серверов Qlik Sense, в настоящее время неизвестна. “Команда была выполнена под управлением scheduler.exe, что напоминает вторжения Cactus Qlik в 2023 году”, — заявили в компании по кибербезопасности. Хотя попытки запуска reverse shell были заблокированы, тестирование Cynet в контролируемой среде показало, что интерактивный канал связи используется для проведения разведки и доставки скрипта PowerShell для обеспечения постоянства. Это достигается с помощью Windows Go reverse shell, который подключается к “45.115.26[.]23:4456”. Затем бэкдор используется для поиска активно работающих процессов, связанных с Apache ActiveMQ. В Linux вредоносное ПО также пытается собирать системную информацию и читать файлы “/etc/shadow” и “/etc/passwd”. Второй вариант скрипта PowerShell пытается установить OpenSSH и создает запланированную задачу с именем “WinUpdCheck”, которая запускает PowerShell reverse shell, записанный в “C:\ProgramData\ssh\winc.ps1”, с интервалом в пять минут. “Если sshd оставался недоступным, он загружал OpenSSH-Win64.zip с сервера развертывания, извлекал его и запускал install-sshd.ps1”, — сообщили в Cynet. “Он настроил sshd на автоматический запуск, запустил службу и добавил правило брандмауэра для входящих подключений по TCP 22. Архив представлял собой легитимный пакет OpenSSH, повторно использованный оператором”. Дальнейший анализ инфраструктуры выявил открытый каталог (“45.115.26[.]23:8012”), содержащий пользовательский бэкдор Go для Windows, скрипты для обеспечения постоянства SSH, эксплойт для Apache ActiveMQ CVE-2023-46604 и модифицированный общедоступный набор инструментов Veeam для CVE-2024-40711, что указывает на то, что злоумышленник, возможно, закладывает основу для более масштабных атак.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
