Intento de reverse shell en Qlik Sense apunta a 45.115.26.23, detectado en octubre de 2026

En octubre de 2026, investigadores de Cynet detectaron intentos de compromiso contra servidores Qlik Sense que intentaban ejecutar una one‑liner de PowerShell para abrir una reverse shell hacia la dirección 45.115.26[.]23 (puertos 4455 y 4456). Según el reporte de la compañía, las acciones ocurrieron en un lapso muy corto —poco más de tres minutos— y guardan similitudes técnicas con una campaña documentada en noviembre de 2023 que abusó de vulnerabilidades en Qlik Sense para obtener acceso inicial y desplegar herramientas de control remoto y persistencia.

Hechos confirmados: Cynet observó ejecuciones de comandos PowerShell iniciadas por scheduler.exe, intentos de conexión saliente a 45.115.26[.]23:4455 que fueron bloqueados en los entornos atacados, y, en pruebas controladas, la apertura de un canal interactivo que permitió desplegar un backdoor adicional (un binario Go) que se conecta a 45.115.26[.]23:4456. También se halló en la infraestructura operativa (en 45.115.26[.]23:8012) un directorio accesible con ficheros que incluyen un backdoor en Go para Windows, scripts de persistencia SSH, un exploit dirigido a Apache ActiveMQ (CVE‑2023‑46604) y una versión modificada de herramientas públicas de Veeam relacionadas con CVE‑2024‑40711.

Contexto de vulnerabilidades conocidas: Qlik Sense tuvo varias vulnerabilidades de alta gravedad en 2023 que fueron parcheadas en agosto y septiembre de ese año. Entre ellas están CVE‑2023‑41265 (HTTP tunneling con potencial de escalada de privilegios) y CVE‑2023‑48365 (ejecución remota por validación inadecuada de cabeceras HTTP, conocida como "DoubleQlik"). Los CVE pueden consultarse en las bases públicas: CVE‑2023‑41265 y CVE‑2023‑48365. En 2023, actores vinculados a la operación CACTUS aprovecharon esas debilidades para establecer footholds y desplegar herramientas como AnyDesk, Plink y UEMS.

Lo que se sabe y lo que sigue incierto: es confirmado que hubo intentos de reverse shell y que la infraestructura del atacante alojó herramientas y exploits diversos. No está confirmado cuál (si alguno) de los CVE de 2023 o alguna nueva falla fue la puerta de entrada en los incidentes de octubre de 2026; Cynet indica que el exploit exacto utilizado para comprometer los servidores Qlik Sense en este caso aún no está identificado. Tampoco hay, por ahora, evidencia pública de que los intentos hayan derivado en despliegues de ransomware en esta oleada concreta.

Técnicamente, el patrón observado tiene varias fases claras. Primero, ejecución de PowerShell desde scheduler.exe con una cadena destinada a iniciar una reverse shell remota. Segundo, establecimiento de un canal interactivo que en laboratorio permitió transferir y ejecutar un binario Go (backdoor) que realiza reconocimiento (búsqueda de procesos relacionados con Apache ActiveMQ) y, en sistemas Linux, intentos de lectura de /etc/shadow y /etc/passwd. Tercero, variantes que instalan OpenSSH en Windows para obtener persistencia: creación de una tarea programada denominada "WinUpdCheck" que ejecuta C:\ProgramData\ssh\winc.ps1 cada cinco minutos; si sshd no está presente, descarga y ejecuta un paquete legítimo OpenSSH‑Win64.zip desde el servidor de staging y configura el servicio sshd para arrancar automáticamente, además de abrir una regla de firewall para TCP/22.

¿A quién afecta esto? Principalmente organizaciones que mantienen instancias de Qlik Sense Enterprise for Windows que no estén correctamente parcheadas o que expongan interfaces administrativas sin las restricciones de red adecuadas. Sin embargo, el operador demuestra interés en componentes adicionales (ActiveMQ, herramientas de backup como Veeam), por lo que la cadena de ataque puede ampliarse a otras aplicaciones con superficies expuestas dentro de la misma red.

Consecuencias prácticas: incluso si la ejecución inicial de la reverse shell fue bloqueada en los entornos observados, la táctica revela intentos de establecer canales persistentes y mecanismos para movimiento lateral (instalación de OpenSSH, búsqueda de procesos ActiveMQ, robo potencial de hashes y contraseñas en sistemas Linux). Si alguno de estos pasos tuviera éxito, el atacante podría mantener acceso a largo plazo, instalar puertas traseras adicionales y preparar despliegues más dañinos como exfiltración masiva o cifrado de datos.

Recomendaciones concretas y priorizadas para administradores y equipos de seguridad:

1) Verificar parches y configuraciones de Qlik Sense: confirme que sus instancias aplicaron las correcciones publicadas en 2023 para CVE‑2023‑41265 y CVE‑2023‑48365, y aplique cualquier parche adicional disponible por parte de Qlik. Si no puede parchear de inmediato, limite el acceso a la consola y los endpoints del repositorio solo a redes de gestión confiables y mediante VPN o listas blancas de IP.

2) Buscar indicadores específicos en los endpoints: rastree ejecuciones de scheduler.exe que lancen PowerShell con parámetros inusuales (-NoProfile, -EncodedCommand, comandos que abran sockets), presencia de C:\ProgramData\ssh\winc.ps1, tareas programadas llamadas "WinUpdCheck", instalación reciente de OpenSSH o creación de reglas firewall para TCP/22, y conexiones salientes a 45.115.26[.]23:4455/4456/8012. Revise logs de proxy/firewall para esas IP/puertos y capture cualquier binario descargado desde esa dirección.

3) Respuesta ante sospecha de compromiso: aislar las máquinas afectadas, preservar imágenes y logs para análisis forense, rotar credenciales con prioridad (especialmente cuentas de servicio y administrativas de Qlik), y realizar escaneos integrales con EDR/AV. Si se detecta persistencia (tareas programadas, servicios sshd instalados recientemente, binarios Go desconocidos), proceda a erradicación y reconstrucción del sistema desde imágenes confiables.

4) Endurecimiento y mitigaciones de red: bloquee a nivel de perímetro el tráfico hacia 45.115.26[.]23 y las rutas conocidas de comando y control; aplique segmentación de red para separar plataformas analíticas y de gestión; implemente listas blancas de aplicaciones donde sea posible y reduzca privilegios de servicio que puedan invocar scheduler.exe o ejecutar comandos remotos.

5) Detección y caza proactiva: busque procesos que realicen lecturas de /etc/shadow o /etc/passwd en servidores Linux, monitorice el uso de Plink/AnyDesk/AnyDesk‑like y ManageEngine UEMS (herramientas que fueron desplegadas en la campaña CACTUS de 2023), y corrija cualquier exposición pública innecesaria de Apache ActiveMQ o interfaces de backup.

Para ampliar sobre las vulnerabilidades de Qlik referidas, consulte las entradas públicas de CVE: CVE‑2023‑41265 y CVE‑2023‑48365 (DoubleQlik). Estas referencias ayudan a mapear las técnicas observadas con fallos conocidos y a priorizar parches.

Conclusión: la oleada de octubre de 2026 representa un recordatorio de que viejas vulnerabilidades, incluso parcheadas, pueden seguir explotándose cuando las correcciones no fueron aplicadas o cuando los vectores de exposición no se redujeron. Las defensas más efectivas combinan parches oportunos, segmentación y visibilidad de red, detecciones centradas en comportamiento (p. ej. scheduler.exe iniciando shells) y acciones de respuesta rápidas para cortar persistencias antes de que permitan movimiento lateral o exfiltración.