В описании инцидента указана дата: октябрь 2026 года. Она находится в будущем относительно текущего момента, поэтому сообщённые события нельзя считать подтверждёнными фактами. Согласно представленной информации, команды Cynet CyOps и Research обнаружили подозрительную активность у нескольких клиентов в странах ЕС: злоумышленники пытались запустить PowerShell-оболочку на серверах Qlik Sense. Попытки не удались, а весь эпизод занял чуть больше трёх минут.
Как именно атакующие получили доступ к серверам, неизвестно. Cynet сопоставила происходящее с кампанией ноября 2023 года, которую описывала Arctic Wolf и связывала с операцией CACTUS. Тогда злоумышленники, вероятно, использовали недавно раскрытые уязвимости Qlik Sense для первоначального проникновения. В нынешнем описании команда выполнялась от имени процесса scheduler.exe, что также напоминало вторжения CACTUS в 2023 году.
Уязвимости затрагивали Qlik Sense Enterprise for Windows. Компания выпустила исправления в августе и сентябре 2023 года. CVE-2023-41265 с оценкой CVSS 9,6 позволяла туннелировать HTTP-запросы, повышать привилегии и обращаться к серверной части приложения Repository. CVE-2023-41266 получила оценку 8,2: ошибка обхода каталогов могла дать удалённому неаутентифицированному злоумышленнику возможность создать анонимную сессию и обращаться к закрытым конечным точкам.
Ещё одна уязвимость, CVE-2023-48365, известная как DoubleQlik, получила CVSS 9,6. Неправильная проверка HTTP-заголовков позволяла удалённо выполнить код без аутентификации, туннелируя запросы к серверной части. Эта уязвимость оказалась неполным исправлением CVE-2023-41265. Связь этих ошибок с описанной активностью не установлена: конкретный способ проникновения в Qlik Sense остаётся неизвестным.
В ноябрьской кампании 2023 года атакующие после закрепления загружали средства удалённого управления и поддержания доступа: ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk и Plink. В более позднем эпизоде PowerShell-команда содержала однострочную обратную оболочку, которая должна была подключиться к адресу 45.115.26[.]23 через порт 4455. Защитные средства блокировали запуск. Cynet проверила команду в изолированной среде и установила, что интерактивный канал мог служить для разведки и доставки скрипта закрепления.
Для дальнейшей разведки и закрепления использовалась также написанная на Go обратная оболочка для Windows. Она связывалась с 45.115.26[.]23:4456 и искала активные процессы Apache ActiveMQ. На Linux-системах вредоносная программа пыталась собирать сведения о системе и читать файлы /etc/shadow и /etc/passwd, где хранятся данные о пользователях и учётных записях.
Другой вариант PowerShell-скрипта устанавливал OpenSSH и настраивал постоянный доступ. Он создавал задание планировщика WinUpdCheck, которое каждые пять минут запускало обратную оболочку из C:\ProgramData\ssh\winc.ps1. Если служба sshd отсутствовала, скрипт загружал с сервера-посредника архив , распаковывал его, запускал install-sshd.ps1, настраивал автоматический запуск службы и добавлял входящее правило брандмауэра для TCP-порта 22. По оценке Cynet, архив был легитимным пакетом OpenSSH, повторно использованным оператором.
На открытом каталоге по адресу 45.115.26[.]23:8012 исследователи обнаружили Go-бэкдор для Windows, скрипты закрепления через SSH, эксплойт Apache ActiveMQ для CVE-2023-46604 и изменённый публичный инструментарий Veeam для CVE-2024-40711. Такой набор может указывать на подготовку к атакам на разные системы, хотя сам по себе не доказывает, что эти инструменты уже применялись против пострадавших организаций.
Практический риск для владельцев Qlik Sense связан прежде всего с неустановленными обновлениями 2023 года: описанные уязвимости открывают путь к выполнению запросов на серверной стороне и удалённому выполнению кода. Организациям стоит проверить версии Qlik Sense Enterprise for Windows, журналы запуска scheduler.exe, задания планировщика и службу sshd, а также искать соединения с 45.115.26[.]23 на портах 4455, 4456 и 8012. Отдельно следует проверить активность Apache ActiveMQ и Veeam, поскольку обнаруженные инструменты указывают на интерес оператора к этим продуктам.
Изображение носит иллюстративный характер
Как именно атакующие получили доступ к серверам, неизвестно. Cynet сопоставила происходящее с кампанией ноября 2023 года, которую описывала Arctic Wolf и связывала с операцией CACTUS. Тогда злоумышленники, вероятно, использовали недавно раскрытые уязвимости Qlik Sense для первоначального проникновения. В нынешнем описании команда выполнялась от имени процесса scheduler.exe, что также напоминало вторжения CACTUS в 2023 году.
Уязвимости затрагивали Qlik Sense Enterprise for Windows. Компания выпустила исправления в августе и сентябре 2023 года. CVE-2023-41265 с оценкой CVSS 9,6 позволяла туннелировать HTTP-запросы, повышать привилегии и обращаться к серверной части приложения Repository. CVE-2023-41266 получила оценку 8,2: ошибка обхода каталогов могла дать удалённому неаутентифицированному злоумышленнику возможность создать анонимную сессию и обращаться к закрытым конечным точкам.
Ещё одна уязвимость, CVE-2023-48365, известная как DoubleQlik, получила CVSS 9,6. Неправильная проверка HTTP-заголовков позволяла удалённо выполнить код без аутентификации, туннелируя запросы к серверной части. Эта уязвимость оказалась неполным исправлением CVE-2023-41265. Связь этих ошибок с описанной активностью не установлена: конкретный способ проникновения в Qlik Sense остаётся неизвестным.
В ноябрьской кампании 2023 года атакующие после закрепления загружали средства удалённого управления и поддержания доступа: ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk и Plink. В более позднем эпизоде PowerShell-команда содержала однострочную обратную оболочку, которая должна была подключиться к адресу 45.115.26[.]23 через порт 4455. Защитные средства блокировали запуск. Cynet проверила команду в изолированной среде и установила, что интерактивный канал мог служить для разведки и доставки скрипта закрепления.
Для дальнейшей разведки и закрепления использовалась также написанная на Go обратная оболочка для Windows. Она связывалась с 45.115.26[.]23:4456 и искала активные процессы Apache ActiveMQ. На Linux-системах вредоносная программа пыталась собирать сведения о системе и читать файлы /etc/shadow и /etc/passwd, где хранятся данные о пользователях и учётных записях.
Другой вариант PowerShell-скрипта устанавливал OpenSSH и настраивал постоянный доступ. Он создавал задание планировщика WinUpdCheck, которое каждые пять минут запускало обратную оболочку из C:\ProgramData\ssh\winc.ps1. Если служба sshd отсутствовала, скрипт загружал с сервера-посредника архив , распаковывал его, запускал install-sshd.ps1, настраивал автоматический запуск службы и добавлял входящее правило брандмауэра для TCP-порта 22. По оценке Cynet, архив был легитимным пакетом OpenSSH, повторно использованным оператором.
На открытом каталоге по адресу 45.115.26[.]23:8012 исследователи обнаружили Go-бэкдор для Windows, скрипты закрепления через SSH, эксплойт Apache ActiveMQ для CVE-2023-46604 и изменённый публичный инструментарий Veeam для CVE-2024-40711. Такой набор может указывать на подготовку к атакам на разные системы, хотя сам по себе не доказывает, что эти инструменты уже применялись против пострадавших организаций.
Практический риск для владельцев Qlik Sense связан прежде всего с неустановленными обновлениями 2023 года: описанные уязвимости открывают путь к выполнению запросов на серверной стороне и удалённому выполнению кода. Организациям стоит проверить версии Qlik Sense Enterprise for Windows, журналы запуска scheduler.exe, задания планировщика и службу sshd, а также искать соединения с 45.115.26[.]23 на портах 4455, 4456 и 8012. Отдельно следует проверить активность Apache ActiveMQ и Veeam, поскольку обнаруженные инструменты указывают на интерес оператора к этим продуктам.
