In oktober 2026 zijn Qlik Sense servers aangevallen met PowerShell reverse shells en exploits voor ActiveMQ en Veeam, mogelijk gerelateerd aan eerdere kwetsbaarheden.
In oktober 2026 zijn kwaadwillenden actief geweest met pogingen om Qlik Sense servers te compromitteren door middel van PowerShell reverse shell commando's. Deze aanvallen vonden plaats binnen een korte tijdspanne van iets meer dan drie minuten en betroffen meerdere omgevingen binnen de Europese Unie. De detectie werd gedaan door de CyOps en Research teams van Cynet.
De aanval vertoont overeenkomsten met een campagne uit november 2023, waarbij de CACTUS ransomware-groep kwetsbaarheden in Qlik Sense misbruikte om initiële toegang te verkrijgen. Het gaat om kwetsbaarheden die Qlik Sense Enterprise voor Windows troffen en in augustus en september 2023 werden gepatcht, waaronder CVE-2023-41265 (HTTP tunneling voor privilege-escalatie), CVE-2023-41266 (path traversal) en CVE-2023-48365 (onbevoegde remote code uitvoering via HTTP headers). CVE-2023-48365, ook bekend als DoubleQlik, bleek een onvolledige oplossing voor CVE-2023-41265.
In de eerdere CACTUS-campagne werden deze kwetsbaarheden gebruikt om een voet tussen de deur te krijgen en aanvullende payloads te downloaden voor het opzetten van persistente toegang en externe controle, onder meer met tools als ManageEngine UEMS, AnyDesk en Plink. De recente activiteit van Cynet toont het gebruik van een PowerShell commando met een one-line reverse shell die verbinding maakt met het IP-adres 45.115.26.23 op poort 4455. De precieze kwetsbaarheid die werd misbruikt om binnen te dringen is nog onbekend, maar de uitvoering van het commando gebeurde via scheduler.exe, wat lijkt op de eerdere CACTUS-inbraken.
Hoewel de pogingen om de reverse shell te starten werden geblokkeerd, toonde onderzoek in een gecontroleerde omgeving dat de interactieve communicatie werd ingezet voor verkenning en het afleveren van een PowerShell script om persistente toegang te realiseren. Dit gebeurt via een Windows Go reverse shell die verbinding maakt met hetzelfde IP-adres op poort 4456. De backdoor zoekt actief naar processen gerelateerd aan Apache ActiveMQ. Op Linux-systemen probeert de malware systeeminformatie te verzamelen en bestanden als /etc/shadow en /etc/passwd te lezen.
Een tweede variant van het PowerShell script probeert OpenSSH te installeren en maakt een geplande taak aan genaamd WinUpdCheck, die elke vijf minuten een PowerShell reverse shell start vanaf C:\ProgramData\ssh\winc.ps1. Als sshd niet beschikbaar is, wordt OpenSSH-Win64.zip van de staging server gedownload, uitgepakt en geïnstalleerd. De sshd-service wordt automatisch gestart en er wordt een firewallregel toegevoegd voor TCP-poort 22. Het gebruikte OpenSSH-pakket is legitiem maar wordt door de aanvallers hergebruikt.
Verder onderzoek van de infrastructuur onthulde een openstaande directory op poort 8012 van hetzelfde IP-adres, met daarin een aangepaste Go backdoor voor Windows, SSH persistentscripts, een ActiveMQ exploit voor CVE-2023-46604 en een aangepaste publieke Veeam toolchain voor CVE-2024-40711. Dit wijst erop dat de dreigingsactor mogelijk voorbereidingen treft voor bredere aanvallen.
