Tấn công Qlik Sense: Kẻ tấn công sử dụng reverse shell, chuẩn bị exploit ActiveMQ và Veeam
"Threat actors are targeting Qlik Sense servers with PowerShell reverse shells, attempting to establish persistence and potentially deploy additional payloads like ActiveMQ and Veeam exploits. The attacks leverage vulnerabilities including CVE-2023-41265, CVE-2023-41266, and CVE-2023-48365, with observed activity resembling past CACTUS ransomware campaigns. While reverse shell attempts have been blocked, the attackers are preparing for broader attacks by staging exploits and backdoors."
Các lỗ hổng Qlik Sense cho phép thực thi mã từ xa và leo thang đặc quyền, tạo điều kiện cho kẻ tấn công xâm nhập và duy trì quyền truy cập vào hệ thống.
Sự cố này có thể gây gián đoạn hoạt động của các doanh nghiệp sử dụng Qlik Sense để phân tích dữ liệu. Việc mất dữ liệu hoặc bị tấn công ransomware có thể gây thiệt hại tài chính và uy tín.
Cynet ghi nhận kẻ tấn công nhắm mục tiêu vào máy chủ Qlik Sense bằng lệnh reverse shell PowerShell từ tháng 10 năm 2026. Hoạt động này có điểm tương đồng với chiến dịch CACTUS ransomware năm 2023, trong đó kẻ tấn công khai thác các lỗ hổng Qlik Sense để xâm nhập.
Các lỗ hổng liên quan, được Qlik Sense vá vào tháng 8 và 9 năm 2023, bao gồm: CVE-2023-41265 (CVSS 9.6) – lỗ hổng HTTP tunneling có thể dẫn đến leo thang đặc quyền; CVE-2023-41266 (CVSS 8.2) – lỗ hổng path traversal cho phép kẻ tấn công tạo session ẩn danh; và CVE-2023-48365 (CVSS 9.6) – lỗ hổng thực thi mã từ xa do xác thực HTTP header không đúng cách. CVE-2023-48365 là bản sửa lỗi chưa hoàn chỉnh cho CVE-2023-41265.
Trong chiến dịch CACTUS năm 2023, kẻ tấn công đã khai thác các lỗ hổng này để thiết lập foothold và tải xuống các payload bổ sung như ManageEngine UEMS, AnyDesk và Plink. Lần này, chúng sử dụng lệnh PowerShell tạo reverse shell kết nối đến 45.115.26[.]23 trên cổng 4455. Dù các nỗ lực tạo reverse shell bị chặn, Cynet phát hiện nó dùng để trinh sát và triển khai script PowerShell để duy trì quyền truy cập.
Kẻ tấn công còn tìm cách cài đặt OpenSSH và tạo scheduled task “WinUpdCheck” chạy script reverse shell C:\ProgramData\ssh\winc.ps1 mỗi 5 phút. Nếu sshd không khả dụng, chúng tải OpenSSH-Win64.zip từ staging server, giải nén và chạy install-sshd.ps1, sau đó cấu hình sshd tự khởi động và thêm firewall rule cho TCP 22. Gói OpenSSH là bản hợp pháp, được kẻ tấn công tái sử dụng.
Phân tích thêm cho thấy một thư mục mở (45.115.26[.]23:8012) chứa backdoor Go tùy chỉnh cho Windows, script OpenSSH, exploit ActiveMQ cho CVE-2023-46604 và công cụ Veeam đã sửa đổi cho CVE-2024-40711. Điều này cho thấy kẻ tấn công đang chuẩn bị cho các cuộc tấn công lớn hơn. [https://securityaffairs.co/162441/security/qlik-sense-servers-reverse-shells.html]
Câu hỏi thường gặp
CVE-2023-48365 là gì?
CVE-2023-48365 là lỗ hổng thực thi mã từ xa trong Qlik Sense do xác thực HTTP header không đúng cách. Nó cho phép kẻ tấn công leo thang đặc quyền bằng cách tunneling HTTP request và thực thi lệnh trên server.
Kẻ tấn công sử dụng reverse shell để làm gì?
Reverse shell cho phép kẻ tấn công điều khiển máy chủ bị xâm nhập từ xa. Chúng sử dụng nó để trinh sát hệ thống và triển khai script PowerShell để duy trì quyền truy cập.
Chiến dịch CACTUS ransomware liên quan đến sự việc này như thế nào?
Hoạt động tấn công hiện tại có điểm tương đồng với chiến dịch CACTUS năm 2023, trong đó kẻ tấn công khai thác các lỗ hổng Qlik Sense để xâm nhập và triển khai ransomware.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc kẻ tấn công chuẩn bị sẵn các exploit cho ActiveMQ và Veeam cho thấy chúng có thể nhắm mục tiêu vào các hệ thống liên quan đến Qlik Sense. Các doanh nghiệp Việt Nam sử dụng Qlik Sense nên kiểm tra kỹ nhật ký hệ thống để phát hiện các dấu hiệu xâm nhập. Điều đáng chú ý là CVE-2023-48365 vẫn chưa được sửa hoàn toàn, do đó việc cập nhật lên phiên bản mới nhất là rất quan trọng.