Versucht, die Schale in Qlik Sense Punkte auf 45.115.26.23, detektiert im Oktober 2026

Im Oktober 2026 erkannten Cynet-Forscher Engagementsversuche gegen Qlik Sense-Server, die versuchen, eine ein Liner Leistung Shell zum Öffnen einer Reverse Shell an die Adresse 45.115.26 [.] 23 (Ports 4455 und 4456). Laut dem Bericht des Unternehmens, die Aktionen in einer sehr kurzen Zeit - knapp über drei Minuten - und haben technische Ähnlichkeiten mit einer Kampagne im November 2023 dokumentiert, dass missbrauchte Schwachstellen in Qlik Sense, um erste Zugriff und Bereitstellung von Fernbedienung und Persistenz-Tools.

Fakten bestätigt: Cynet beobachtete Durchführungen von PowerShell-Befehlen, die von Scheduler.exe initiiert wurden, Outbound-Verbindungsversuche bei 45.115.26 [.] 23: 4455, die in den angegriffenen Umgebungen blockiert wurden, und bei kontrollierten Tests die Öffnung eines interaktiven Kanals, der die Bereitstellung einer zusätzlichen Backdoor (a Go binär) erlaubte, die mit 45.115.26 [.] 23: 4456 verbindet. Auch in der operativen Infrastruktur (in 45.115.26 [.] 23: 8012) wurde ein zugängliches Verzeichnis mit Dateien einschließlich einer Go-Tür für Windows, SSH-Persistenz-Skripte, einer Explosion gerichtet auf Apache ActiveMQ (CVE-2023-46604) und einer modifizierten Version von Veeam-bezogenen öffentlichen Werkzeugen für CVE-2024-40711 gefunden.

Kontext bekannter Schwachstellen: Qlik Sense hatte im Jahr 2023 mehrere Schwerkraft-Schwachstellen, die im August und September dieses Jahres ausgegraben wurden. Dazu gehören CVE-2023-41265 (HTTP Tunneling mit Privileg Kletterpotenzial) und CVE-2023-48365 (Remote Ausführung durch unzureichende HTTP-Header-Validierung, bekannt als "DoubleQlik"). Die EQs sind auf öffentlichen Basis verfügbar: CVE-2023-41265 und CVE-2023-48365. Im Jahr 2023 nutzten Akteure im Zusammenhang mit der CACTUS-Operation diese Schwächen, um Fußböden zu etablieren und Werkzeuge wie AnyDesk, Plink und UEMS einzusetzen.

Was bekannt ist und was noch unsicher ist: Es wird bestätigt, dass es Versuche gab, die Shell umzukehren, und dass die Infrastruktur des Angreifers verschiedene Werkzeuge und Exploits beherbergte. Es wird nicht bestätigt, welche (wenn überhaupt) der 2023 EQs oder ein neuer Ausfall die Eingangstür in den Oktober 2026 Zwischenfällen war; Cynet weist darauf hin, dassdie genaue Explosion, die dazu verwendet wird, die Qlik Sense Server in diesem Fall zu kompromittieren, wird noch nicht identifiziert. Es gibt auch keine öffentlichen Beweise zu dieser Zeit, dass Versuche in dieser bestimmten Welle zur Entfaltung von Ransomware geführt haben.

Technisch gesehen hat das beobachtete Muster mehrere klare Phasen. Erste, laufende Leistung Shell von Scheduler. exe mit einer Kette, die eine entfernte Schale starten soll. Zweitens die Einrichtung eines interaktiven Kanals, der im Labor erlaubt, ein Go (Backdoor) Binär zu übertragen und auszuführen, das Anerkennung (Suche nach Prozessen im Zusammenhang mit Apache ActiveMQ) und in Linux-Systemen versucht zu lesen / etc / Schatten und / etc / passd. Drittens, Varianten, die OpenSSH unter Windows installieren, um Beharrlichkeit zu erhalten: Erstellen einer geplanten Aufgabe namens "WinUpCheck", die C:\Programm läuft Data\ ssh\ winp.ps1 alle fünf Minuten; wenn sshd nicht vorhanden ist, laden Sie herunter und führen Sie ein legitimes Öffnet das SSH-Win64.zip-Paket aus dem Staging-Server und konfiguriert den Sshd-Service, um automatisch zu booten, zusätzlich eine Firewall-Regel für TCP / 22.

Wer beeinflusst das? Hauptsächlich Organisationen, die Instanzen von Qlik Sense Enterprise für Windows aufrechtzuerhalten, die nicht richtig gepatcht sind oder administrative Schnittstellen ohne entsprechende Netzbeschränkungen aussetzen. Der Bediener zeigt jedoch Interesse an zusätzlichen Komponenten (ActiveMQ, Backup-Tools wie Veeam), so dass die Angriffskette auf andere Anwendungen mit freiliegenden Oberflächen innerhalb desselben Netzwerks erweitert werden kann.

Praktische Auswirkungen: Auch wenn die anfängliche Ausführung der Reverse Shell in den beobachteten Umgebungen blockiert wurde, zeigt die Taktik Versuche, persistente Kanäle und Mechanismen für die laterale Bewegung zu etablieren (OpenSSH-Installation, ActiveMQ-Prozesssuche, Potential Hash Diebstahl und Passwörter in Linux-Systemen). Wenn einer dieser Schritte erfolgreich war, könnte der Angreifer einen langfristigen Zugriff aufrecht erhalten, zusätzliche Back-Türen installieren und schädliche Bereitstellungen wie Massenexfiltration oder Datenverschlüsselung vorbereiten.

Spezifische und priorisierte Empfehlungen für Sicherheitsmanager und Teams:

1) Prüfen Sie Patches und Konfigurationen von Qlik Sense: bestätigen, dass seine Instanzen die Korrekturen angewendet, die in 2023 für CVE-2023-41265 und CVE-2023-48365 veröffentlicht wurden, und wenden Sie alle zusätzlichen Patch zur Verfügung von Qlik. Wenn Sie nicht sofort parken können, beschränken Sie den Zugriff auf die Konsole und Endpunkte des Projektarchivs nur auf zuverlässige Management-Netzwerke und über VPN- oder White IP-Listen.

2) Suche nach bestimmten Indikatoren in Endpunkten: Track-Ausführungen von Scheduler.exe, die PowerShell mit ungewöhnlichen Parametern starten (-NoProfile, -EncodedCommand, Befehle, die offene Steckdosen), Anwesenheit von C:\ ProgramData\ ssh\ win.ps1, programmierte Aufgaben genannt "WinUpCheck", jüngste OpenSSH-Installation oder Erstellung von Firewall-Regeln für TCP / 22 und ausgehende Verbindungen zu 45.115.26 heruntergeladenen /.

3) Antwort auf den Verdacht des Engagements: Isolieren Sie die betroffenen Maschinen, bewahren Sie Bilder und Protokolle für forensische Analyse, drehen Sie Anmeldeinformationen mit Priorität (insbesondere Qlik Service und Verwaltungskonten) und führen Sie umfassende Scans mit EDR / AV durch. Wenn Beharrlichkeit erkannt wird (geplante Aufgaben, kürzlich installierte sshd Dienste, binäres Go Unbekanntes), gehen Sie zur Tilgung und Rekonstruktion des Systems aus zuverlässigen Bildern.

4) Netzwerk-Management und Minderung: sperren Sie auf dem Perimeter-Niveau Verkehr auf 45.115.26 [.] 23 und bekannte Befehls- und Steuerwege; wenden Sie Netzwerksegmentierung auf separate analytische und Management-Plattformen; implementieren weiße Listen von Anwendungen, wo möglich und reduzieren Service-Privilegien, die Scheduler rufen können. Ausführen oder Ausführen von Remotebefehlen.

(5) Erkennung und proaktive Jagd: Suchen Sie nach Prozessen, die auf Linux-Servern / etc / Schatten oder / etc / Passed-Lesen tun, überwachen Sie die Verwendung von Plink / AnyDesk / AnyDesk-like und ManageEngine UEMS (Werkzeuge, die in der CACTUS-Kampagne von 2023 eingesetzt wurden), und korrigieren Sie unnötige öffentliche Exposition von Apache ActiveMQ oder Backup-Schnittstellen.

Um die entsprechenden Qlik Schwachstellen zu erweitern, siehe die öffentlichen CVE-Einträge: CVE-2023-41265 und CVE-2023-48365 (DoubleQlik). Diese Referenzen helfen, Techniken, die bei bekannten Fehlern beobachtet werden, zu ordnen und Patches zu priorisieren.

Schlussfolgerung: Die Oktober-2026-Welle stellt eine Erinnerung dar, dass alte Schwachstellen, sogar Schränke, weiterhin ausgenutzt werden können, wenn die Korrekturen nicht angewendet wurden oder wenn die Belichtungsvektoren nicht reduziert wurden. Die effektivsten Abwehrkräfte kombinieren entsprechende Patches, Segmentierung und Netzwerksicht, verhaltensfokussierte Erkennungen (z.B. Scheduler.exe initiiert Shells) und schnelle Antwortaktionen, um Persistenzen zu reduzieren, bevor sie eine seitliche Bewegung oder Exfiltration zulassen.