Aktor ancaman siber terdeteksi melancarkan serangan terhadap server Qlik Sense dalam upaya gagal mengirimkan perintah reverse shell PowerShell ke sejumlah lingkungan sistem pada Oktober 2026.
Tim Riset dan CyOps dari Cynet menyatakan bahwa mereka mengidentifikasi aktivitas mencurigakan ini pada Oktober 2026 terhadap beberapa pelanggan di kawasan Uni Eropa dalam rentang waktu yang sangat singkat, yakni sedikit di atas tiga menit.
Aktivitas tersebut ditemukan memiliki sejumlah kemiripan dengan kampanye November 2023 yang didokumentasikan oleh Arctic Wolf, saat pelaku ancaman yang terafiliasi dengan operasi ransomware CACTUS diduga memanfaatkan celah keamanan baru pada Qlik Sense untuk meraih akses awal ke lingkungan target.
Kerentanan bersangkutan, yang telah diperbaiki pihak Qlik Sense pada Agustus dan September 2023, berdampak langsung pada produk Qlik Sense Enterprise for Windows.
Perlu dicatat bahwa CVE-2023-48365 (dikenal juga sebagai DoubleQlik) merupakan perbaikan yang belum tuntas untuk kerentanan CVE-2023-41265.
Dalam kampanye ransomware CACTUS pada November 2023, penyerang terpantau mengeksploitasi kelemahan tersebut guna membangun pijakan awal serta mengunduh muatan berbahaya tambahan demi mempertahankan persistensi dan kendali jarak jauh dengan memasang ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk, dan Plink.
Insiden terbaru yang ditemukan oleh Cynet melibatkan penerapan perintah PowerShell yang memuat satu baris reverse shell yang menghubungi alamat "45.115.26[.]23" melalui port 4455. Celah spesifik yang dimanfaatkan untuk membobol server Qlik Sense saat ini masih belum teridentifikasi pasti.
"Perintah tersebut dieksekusi di bawah scheduler.exe, menyerupai pola intrusi Cactus pada Qlik tahun 2023," jelas pihak perusahaan keamanan siber tersebut.
Kendati upaya memunculkan reverse shell tersebut berhasil digagalkan, uji coba laboratorium Cynet di lingkungan terkontrol membuktikan bahwa saluran komunikasi interaktif tersebut dimanfaatkan guna melakukan pengintaian dan meluncurkan skrip PowerShell untuk mengaktifkan mekanisme persistensi.
Hal ini diwujudkan melalui reverse shell Go berbasis Windows yang tersambung ke "45.115.26[.]23:4456." Backdoor tersebut lantas dipakai memantau proses aktif Apache ActiveMQ. Di Linux, malware juga berupaya mengumpulkan informasi sistem dan membaca berkas "/etc/shadow" serta "/etc/passwd".
Varian kedua skrip PowerShell berupaya menginstal OpenSSH dan membentuk scheduled task bernama "WinUpdCheck" yang menjalankan reverse shell PowerShell di "C:ProgramDatasshwinc.ps1" setiap lima menit sekali.
"Jika sshd tetap tidak tersedia, skrip mengunduh OpenSSH-Win64.zip dari server staging, mengekstraknya, dan mengeksekusi install-sshd.ps1," kata Cynet. "Skrip mengatur sshd ke startup otomatis, menyalakan layanan, dan menambahkan aturan firewall inbound port TCP 22. Arsip tersebut adalah paket resmi OpenSSH yang dipakai ulang operator."
Pemeriksaan mendalam infrastruktur mengungkap direktori terbuka ("45.115.26[.]23:8012") berisi backdoor Go khusus Windows, skrip persistensi SSH, eksploit ActiveMQ untuk CVE-2023-46604, serta modifikasi rantai alat Veeam untuk CVE-2024-40711, mengindikasikan peretas bersiap melancarkan serangan berskala lebih luas.
