Tentative d'inverser le shell en Qlik Sense pour atteindre 45.115.26.23, détecté en octobre 2026

En octobre 2026, les chercheurs de Cynet ont détecté des tentatives d'engagement contre des serveurs Qlik Sense essayant d'exécuter un une ligne Puissance Shell pour ouvrir un shell inverse 45.115.26 [.] 23 (ports 4455 et 4456). Selon le rapport de l'entreprise, les actions ont eu lieu en très peu de temps - un peu plus de trois minutes - et ont des similitudes techniques avec une campagne documentée en novembre 2023 qui a abusé des vulnérabilités dans Qlik Sense pour obtenir un accès initial et déployer des outils de télécommande et de persistance.

Faits confirmés : Cynet a observé des exécutions de commandes PowerShell initiées par programmateur.exe, des tentatives de connexion sortantes à 45.115.26 [.] 23: 4455 qui ont été bloquées dans les environnements attaqués, et, dans des tests contrôlés, l'ouverture d'un canal interactif qui a permis le déploiement d'une porte arrière supplémentaire (un binaire Go) qui se connecte à 45.115.26 [.] 23: 4456. Également dans l'infrastructure opérationnelle (en 45.115.26 [.] 23: 8012) a été trouvé un répertoire accessible avec des fichiers comprenant une porte d'accès pour Windows, des scripts de persistance SSH, une explosion dirigée vers Apache ActiveMQ (CVE-2023-46604) et une version modifiée d'outils publics liés à Veeam pour CVE-2024-40711.

Contexte des vulnérabilités connues : Qlik Sense avait plusieurs vulnérabilités à forte gravité en 2023 qui ont été réduites en août et septembre de la même année. Il s'agit notamment de CVE-2023-41265 (HTTP tunneling with privilegy grimping potential) et CVE-2023-48365 (exécution à distance par validation d'en-tête HTTP inadéquate, connue sous le nom de « DoubleQlik »). Les QE sont disponibles sur les bases publiques: CVE-2023-41265 et CVE-2023-48365. En 2023, les acteurs liés à l'opération CACTUS ont profité de ces faiblesses pour établir des bases et déployer des outils tels que AnyDesk, Plink et UEMS.

Ce qui est connu et ce qui est encore incertain: Il est confirmé qu'il y a eu des tentatives d'inverser le shell et que l'infrastructure de l'agresseur a accueilli divers outils et exploits. Il n'est pas confirmé quel (le cas échéant) des QE de 2023 ou de toute nouvelle défaillance était la porte d'entrée dans les incidents d'octobre 2026; Cynet indique quel'explosion exacte utilisée pour compromettre les serveurs Qlik Sense dans ce cas n'est pas encore identifiée. Il n'existe pas non plus de preuve publique à l'heure actuelle que des tentatives aient abouti au déploiement de ransomwares dans cette vague particulière.

Techniquement, le modèle observé comporte plusieurs phases claires. D'abord, la puissance en marche Shell du planificateur. exe avec une chaîne destinée à démarrer un shell distant. Deuxièmement, l'établissement d'un canal interactif qui en laboratoire a permis de transférer et d'exécuter un binaire Go (backdoor) qui fait la reconnaissance (recherche de processus liés à Apache ActiveMQ) et, dans les systèmes Linux, tente de lire / etc / ombre et / etc / passé. Troisièmement, les variantes qui installent OpenSSH sur Windows pour obtenir la persistance: créer une tâche programmée appelée "WinUpCheck" qui exécute le programme C:\ Data\ ssh\ winp.ps1 toutes les cinq minutes; si sshd n'est pas présent, télécharger et exécuter une légitime OpenSSH-Win64.zip paquet du serveur de mise en scène et configurer le service sshd pour démarrer automatiquement, en plus d'ouvrir une règle de pare-feu pour TCP / 22.

Qui cela affecte - t - il? Principalement des organisations qui maintiennent des instances de Qlik Sense Enterprise pour Windows qui ne sont pas correctement corrigés ou qui exposent des interfaces administratives sans restrictions de réseau appropriées. Cependant, l'opérateur montre de l'intérêt pour des composants supplémentaires (ActiveMQ, outils de sauvegarde comme Veeam), de sorte que la chaîne d'attaque peut être étendue à d'autres applications avec des surfaces exposées dans le même réseau.

Incidences pratiques: même si l'exécution initiale du shell inverse était bloquée dans les environnements observés, la tactique révèle des tentatives d'établir des canaux et mécanismes persistants pour le mouvement latéral (installation OpenSSH, recherche de processus ActiveMQ, vol de hachage potentiel et mots de passe dans les systèmes Linux). Si l'une de ces étapes était réussie, l'attaquant pourrait maintenir l'accès à long terme, installer des portes arrière supplémentaires et préparer des déploiements plus nuisibles tels que l'exfiltration de masse ou le chiffrement des données.

Recommandations précises et hiérarchisées à l'intention des gestionnaires et des équipes de sécurité :

1) Vérifiez les correctifs et les configurations de Qlik Sense: confirmer que ses instances ont appliqué les corrections publiées en 2023 pour CVE-2023-41265 et CVE-2023-48365, et appliquer tout correctif supplémentaire disponible auprès de Qlik. Si vous ne pouvez pas vous garer immédiatement, limitez l'accès à la console et aux paramètres du dépôt uniquement aux réseaux de gestion fiables et via des listes IP VPN ou blanches.

2) Rechercher des indicateurs spécifiques dans les paramètres: suivi des exécutions de Scheduler.exe qui lancent PowerShell avec des paramètres inhabituels (-NoProfile, -EncodedCommand, commandes qui ouvrent des sockets), présence de C:\ ProgramData\ ssh\ win.ps1, tâches programmées appelées "WinUpCheck", installation ou création récente OpenSSH de règles de pare-feu pour TCP / 22 et connexions sortantes à 45.115.26 [.] 23: 4455 / 4456 / 8012. Vérifiez les journaux proxy / pare-feu pour ces IP / ports et capturez tout binaire téléchargé dans cette direction.

3) Réponse aux soupçons d'engagement : isoler les machines concernées, préserver les images et les journaux pour l'analyse médico-légale, faire pivoter les références avec priorité (en particulier les comptes administratifs et de service Qlik), et effectuer des analyses complètes avec EDR / AV. Si la persistance est détectée (tâches programmées, services sshd récemment installés, binaire Go inconnu), procéder à l'éradication et la reconstruction du système à partir d'images fiables.

4) Gestion et atténuation du réseau : bloquer le trafic au niveau du périmètre jusqu'à 45.115.26 [.] 23 et les itinéraires de commande et de contrôle connus; appliquer la segmentation du réseau à des plates-formes d'analyse et de gestion distinctes; mettre en place des listes blanches d'applications lorsque c'est possible et réduire les privilèges de service qui peuvent invoquer le programmeur. Exe ou exécutez des commandes distantes.

(5) Détection et chasse proactive : Rechercher les processus qui font / etc / ombre ou / etc / lectures passées sur les serveurs Linux, surveiller l'utilisation de Plink / AnyDesk / AnyDesk-like et ManageEngine UEMS (outils qui ont été déployés dans la campagne CACTUS de 2023), et corriger toute exposition publique inutile d'Apache ActiveMQ ou d'interfaces de sauvegarde.

Pour en savoir plus sur les vulnérabilités Qlik connexes, consultez les entrées CVE publiques : CVE-2023-41265 et CVE-2023-48365 (DoubleQlik). Ces références aident à cartographier les techniques observées avec des échecs connus et à prioriser les correctifs.

Conclusion: La vague d'octobre 2026 rappelle que les anciennes vulnérabilités, même les chaînes, peuvent continuer à être exploitées lorsque les corrections n'ont pas été appliquées ou lorsque les vecteurs d'exposition n'ont pas été réduits. Les défenses les plus efficaces combinent les correctifs appropriés, la segmentation et la visibilité du réseau, les détections axées sur le comportement (par exemple scheder.exe initiating shells) et les actions de réponse rapide pour réduire les persistances avant qu'elles ne permettent le mouvement latéral ou l'exfiltration.