Intento de reverse shell no Qlik Sense aponta para 45.115.26.23, detectado em outubro de 2026

Em outubro de 2026, pesquisadores de Cynet detectaram tentativas de compromisso contra servidores Qlik Sense que tentavam executar uma one‐liner do PowerShell para abrir uma reverse shell para a direcção 45.115.26[.]23 (portos 4455 e 4456). De acordo com o relatório da empresa, as ações ocorreram em um período muito curto – mais de três minutos – e guardam semelhanças técnicas com uma campanha documentada em novembro de 2023 que abusou de vulnerabilidades no Qlik Sense para obter acesso inicial e implantar ferramentas de controle remoto e persistência.

Atos confirmados: Cynet observou execuções de comandos PowerShell iniciadas por scheduler.exe, tentativas de conexão saliente a 45.115.26[.]23:4455 que foram bloqueados nos ambientes atacados, e, em testes controlados, a abertura de um canal interativo que permitiu implantar um backdoor adicional (um binário Go) que se conecta a 45.115.26[.]23:4456. Foi também encontrada infra-estrutura operacional (em 45.115.26[.]23:8012) uma pasta acessível com ficheiros que incluem um backdoor em Go para Windows, scripts de persistência SSH, um exploit dirigido ao Apache ActiveMQ (CVE‐2023‐46604) e uma versão modificada de ferramentas públicas da Veeam relacionadas com CVE‐2024‐40711.

Contexto de vulnerabilidades conhecidas: A Qlik Sense teve várias vulnerabilidades de alta gravidade em 2023 que foram adesivos em agosto e setembro desse ano. Entre elas estão CVE‐2023‐41265 (HTTP tunneling com potencial de escalada de privilégios) e CVE‐2023‐48365 (jecução remota por validação inadequada de cabeçalhos HTTP, conhecida como "DoubleQlik"). Os CVE podem ser consultados nas bases públicas: CVE‐2023‐41265 e CVE‐2023‐48365. Em 2023, atores ligados à operação CACTUS aproveitaram essas fraquezas para estabelecer footholds e implantar ferramentas como AnyDesk, Plink e UEMS.

O que se sabe e o que continua incerto: É confirmado que houve tentativas de reverse shell e que a infraestrutura do atacante alojou ferramentas e exploits diversos. Não está confirmado qual (se algum) dos CVE de 2023 ou alguma nova falha foi a porta de entrada nos incidentes de outubro de 2026; Cynet indica queo exploit exato utilizado para comprometer os servidores Qlik Sense neste caso ainda não está identificado. Também não há, por agora, provas públicas de que as tentativas tenham derivado em implantaçãos de ransomware nesta onda concreta.

Tecnicamente, o padrão observado tem várias fases claras. Primeiro, a execução do PowerShell a partir de scheduler.exe com uma cadeia destinada a iniciar uma reverse shell remota. Em segundo lugar, o estabelecimento de um canal interativo que em laboratório permitiu transferir e executar um binário Go (backdoor) que realiza reconhecimento (busqueda de processos relacionados ao Apache ActiveMQ) e, em sistemas Linux, tentativas de leitura de /etc/shadow e /etc/passwd. Terceiro, variantes que instalam o OpenSSH no Windows para obter persistência: criação de uma tarefa programada chamada "WinUpdCheck" que executa o C:\ProgramData\ssh\winc.ps1 a cada cinco minutos; se o sshd não estiver presente, descarga e executa um pacote legítimo OpenSSH‐Win64.zip do servidor de staging e configura o serviço sshd para arrancar automaticamente, além de abrir uma regra de firewall para TCP/22.

Quem afeta isto? Principalmente organizações que mantêm instâncias do Qlik Sense Enterprise for Windows que não estejam corretamente adesivos ou que exponham interfaces administrativas sem restrições de rede adequadas. No entanto, o operador demonstra interesse em componentes adicionais (ActiveMQ, ferramentas de backup como Veeam), pelo que a cadeia de ataque pode ser alargada a outras aplicações com superfícies expostas dentro da mesma rede.

Consequências práticas: Mesmo se a execução inicial da reverse shell foi bloqueada nos ambientes observados, a tática revela tentativas de estabelecer canais persistentes e mecanismos para movimento lateral (instalação do OpenSSH, busca de processos ActiveMQ, roubo potencial de hashes e senhas em sistemas Linux). Se algum destes passos tivesse sucesso, o atacante poderia manter acesso a longo prazo, instalar portas traseiras adicionais e preparar implantaçãos mais prejudiciais como exfiltração maciça ou cifra de dados.

Recomendações concretas e priorizadas para administradores e equipes de segurança:

1) Verificar adesivos e configurações do Qlik Sense: confirme que as suas instâncias aplicaram as correções publicadas em 2023 para CVE‐2023‐41265 e CVE‐2023‐48365, e aplique qualquer adesivo adicional disponível por parte do Qlik. Se você não puder corrigir imediatamente, limite o acesso à consola e os endpoints do repositório apenas para redes de gerenciamento confiáveis e por VPN ou listas brancas de IP.

2) Procurar indicadores específicos nos endpoints: rastree execuções de scheduler.exe que lancen PowerShell com parâmetros invulgares (-NoProfile, - EncodedCommand, comandos que abra sockets), presença de C:\ProgramData\ssh\winc.ps1, tarefas agendadas chamadas "WinUpdCheck", instalação recente de OpenSSH ou criação de regras firewall para TCP/22, e ligações salientes a 45.115.26[.]23:4455/4456/8012. Revise logs de proxy/firewall para esses IP/portos e capture qualquer binário baixado desde esse endereço.

3) Resposta à suspeita de compromisso: isolar as máquinas afetadas, preservar imagens e logs para análise forense, rotar credenciais com prioridade (especialmente contas de serviço e administrativas do Qlik), e realizar varreduras integrais com EDR/AV. Se for detectada persistência (tarefas agendadas, serviços sshd instalados recentemente, binários Go desconhecidos), proceda à erradicação e reconstrução do sistema a partir de imagens confiáveis.

4) Endurecimento e atenuações de rede: Bloqueie ao nível de perímetro o tráfego para 45.115.26[.]23 e as rotas conhecidas de comando e controle; aplique segmentação de rede para separar plataformas analíticas e de gestão; implemente listas brancas de aplicações onde seja possível e reduza privilégios de serviço que possam invocar scheduler.exe ou executar comandos remotos.

5) Detecção e caça proativa: Procure processos de leitura de /etc/shadow ou /etc/passwd em servidores Linux, monitorize o uso de Plink/AnyDesk/AnyDesk/AnyDesk-like e ManageEngine UEMS (herramientas que foram implantadas na campanha CACTUS de 2023), e corrija qualquer exposição pública desnecessária do Apache ActiveMQ ou interfaces de backup.

Para ampliar sobre as vulnerabilidades do Qlik referidas, consulte as entradas públicas de CVE: CVE‐2023‐41265 e CVE‐2023‐48365 (DoubleQlik). Estas referências ajudam a mapear as técnicas observadas com falhas conhecidas e a priorizar adesivos.

Conclusão: a onda de outubro de 2026 representa um lembrete de que antigas vulnerabilidades, mesmo adesivos, podem continuar a explorar quando as correções não foram aplicadas ou quando os vetores de exposição não foram reduzidos. As defesas mais efetivas combinam adesivos adequados, segmentação e visibilidade de rede, detecções centradas em comportamento (por exemplo, scheduler.exe iniciando shells) e ações de resposta rápidas para cortar persistências antes de permitir movimento lateral ou exfiltração.