Wprowadzenie do problemu / definicja
Serwery Qlik Sense ponownie znalazły się w centrum zainteresowania cyberprzestępców, którzy traktują je jako atrakcyjny punkt wejścia do środowisk firmowych. Najnowsze obserwacje wskazują na kampanię, w której atakujący próbowali uruchamiać polecenia PowerShell prowadzące do zestawienia reverse shella, a następnie przygotowywali mechanizmy utrzymania dostępu i artefakty do dalszej eksploatacji innych systemów.
To istotny sygnał dla organizacji korzystających z platform analitycznych dostępnych z sieci. Tego typu serwery często działają w zaufanym segmencie infrastruktury, mają dostęp do danych biznesowych i mogą stać się dogodnym przyczółkiem do kolejnych etapów ataku.
W skrócie
W październiku 2026 roku odnotowano skoordynowaną aktywność wymierzoną w kilka środowisk opartych o Qlik Sense. Próby ataku obejmowały jednowierszowe polecenia PowerShell uruchamiane w kontekście procesu scheduler.exe, których celem było utworzenie kanału reverse shell.
- Atakujący próbowali uzyskać zdalny interaktywny dostęp do serwera.
- W kampanii wykorzystywano skrypty trwałości oparte na OpenSSH i harmonogramie zadań.
- Infrastruktura przeciwnika zawierała również narzędzia odnoszące się do Apache ActiveMQ i Veeam.
- Całość wskazuje na przygotowanie pod szersze działania post-exploitation lub ransomware.
Kontekst / historia
Qlik Sense już wcześniej pojawiał się w raportach dotyczących poważnych incydentów bezpieczeństwa. W 2023 roku ujawniono krytyczne podatności w Qlik Sense Enterprise for Windows, w tym CVE-2023-41265, CVE-2023-41266 oraz CVE-2023-48365, opisywaną jako niekompletną poprawkę wcześniejszego problemu.
Luki te umożliwiały między innymi tunelowanie żądań HTTP, eskalację uprawnień, obejście kontroli dostępu oraz zdalne wykonanie kodu bez uwierzytelnienia. W poprzednich kampaniach błędy w Qlik Sense były wykorzystywane do uzyskania początkowego dostępu, wdrażania narzędzi zdalnej administracji i budowania trwałej obecności w sieci.
Obecna aktywność wpisuje się w podobny schemat operacyjny: publicznie dostępny komponent aplikacyjny staje się celem, po czym następuje szybka próba uruchomienia ładunku, rozpoznanie środowiska i przygotowanie mechanizmów utrzymania dostępu.
Analiza techniczna
Zaobserwowany łańcuch aktywności wskazuje na dojrzałe podejście operatorskie. Kluczowym elementem było polecenie PowerShell zawierające minimalistyczny reverse shell, którego zadaniem było nawiązanie połączenia zwrotnego z infrastrukturą atakującego. Uruchomienie takiego polecenia w kontekście procesu scheduler.exe sugeruje wykorzystanie mechanizmów powiązanych z Qlik Sense do wykonania kodu.
Dalsza analiza wykazała, iż interaktywny kanał komunikacji miał służyć nie tylko zdalnemu dostępowi, ale także rozpoznaniu środowiska oraz wdrożeniu kolejnych skryptów trwałości. Wśród nich znajdowały się warianty instalujące OpenSSH, konfigurujące usługę sshd, dodające reguły zapory dla portu 22 oraz tworzące zadanie harmonogramu o nazwie WinUpdCheck, które cyklicznie uruchamiało lokalnie zapisany skrypt reverse shell.
To podejście pokazuje przejście od jednorazowego wykonania kodu do bardziej stabilnego i trudniejszego do wykrycia kanału dostępu. Taki model jest charakterystyczny dla działań, w których celem nie jest wyłącznie szybka infekcja, ale dłuższa obecność w środowisku oraz przygotowanie gruntu pod kolejne etapy operacji.
Istotnym sygnałem ostrzegawczym była również zawartość ujawnionego katalogu stagingowego powiązanego z infrastrukturą przeciwnika. Znaleziono tam niestandardowy backdoor napisany w Go dla systemów Windows, skrypty trwałości SSH, artefakty odnoszące się do exploita Apache ActiveMQ dla CVE-2023-46604 oraz zmodyfikowany zestaw narzędzi odnoszący się do podatności CVE-2024-40711 w Veeam.
Na systemach linuksowych obserwowano ponadto próby pobierania informacji o systemie oraz odczytu plików takich jak /etc/passwd i /etc/shadow. To typowe działania post-exploitation, które mogą poprzedzać kradzież poświadczeń, eskalację dostępu, ruch lateralny lub wdrożenie ransomware.
Konsekwencje / ryzyko
Ryzyko dla organizacji korzystających z Qlik Sense jest wielowymiarowe. Po pierwsze, serwer analityczny udostępniony z sieci często działa w środowisku o wysokim poziomie zaufania i ma styczność z repozytoriami danych, usługami katalogowymi oraz kontami serwisowymi. Skuteczne przejęcie takiego hosta może więc gwałtownie otworzyć drogę do dalszych zasobów biznesowych.
Po drugie, wykryty zestaw narzędzi sugeruje możliwość prowadzenia ataków wieloetapowych. Qlik Sense może pełnić rolę początkowego punktu wejścia, po którym następuje rozpoznanie, trwałość, a następnie próby eksploatacji innych komponentów infrastruktury, takich jak ActiveMQ czy Veeam.
Po trzecie, choćby zablokowana próba reverse shella nie oznacza, iż incydent można uznać za nieistotny. o ile atakujący zdołał uruchomić kod, zebrać informacje o systemie lub zapisać pliki na serwerze, organizacja może mieć do czynienia z częściową kompromitacją wymagającą pełnej analizy śledczej.
Rekomendacje
W pierwszej kolejności organizacje powinny zweryfikować, czy wszystkie instancje Qlik Sense Enterprise for Windows zostały zaktualizowane o poprawki związane z CVE-2023-41265, CVE-2023-41266 i CVE-2023-48365. Równolegle warto ograniczyć ekspozycję usług Qlik Sense do Internetu i dopuścić dostęp wyłącznie z zaufanych segmentów lub przez kontrolowane mechanizmy publikacji.
Na poziomie detekcji i monitoringu szczególną uwagę należy zwrócić na:
- uruchomienia powershell.exe przez procesy powiązane z Qlik Sense, zwłaszcza scheduler.exe,
- tworzenie nowych zadań harmonogramu o nazwach imitujących aktualizacje systemowe,
- instalację i aktywację OpenSSH na serwerach, gdzie wcześniej nie było to standardem,
- zmiany w regułach zapory i nowe połączenia wychodzące do nietypowych portów,
- obecność skryptów PowerShell w katalogach aplikacyjnych i systemowych,
- ślady odczytu plików poświadczeń oraz pobierania dodatkowych narzędzi administracyjnych.
Z perspektywy reagowania warto również sprawdzić serwery pod kątem artefaktów trwałości, nieautoryzowanych usług, nowych kont, modyfikacji harmonogramu zadań i podejrzanych zmian konfiguracyjnych. o ile w środowisku obecne są Apache ActiveMQ i Veeam, należy potraktować je jako potencjalne cele kolejnych etapów ataku i pilnie zweryfikować poziom ich aktualizacji.
Dodatkową warstwą ochrony powinno być segmentowanie sieci, ograniczanie uprawnień kont serwisowych, wdrożenie EDR lub XDR z telemetryką procesów oraz blokowanie nieautoryzowanych interpreterów skryptowych i narzędzi zdalnego dostępu tam, gdzie nie są one operacyjnie wymagane.
Podsumowanie
Najnowsza kampania wymierzona w serwery Qlik Sense pokazuje, iż platformy analityczne pozostają atrakcyjnym celem dla zaawansowanych operatorów zagrożeń. Obserwowane działania nie wyglądały na pojedynczą próbę wykonania kodu, ale na element szerszej operacji obejmującej trwałość, rozpoznanie i przygotowanie do dalszej eksploatacji innych systemów.
Dla zespołów bezpieczeństwa oznacza to konieczność traktowania serwerów Qlik Sense jako zasobów krytycznych. Regularny patch management, ścisła kontrola ekspozycji oraz aktywne monitorowanie zachowań post-exploitation powinny być w tym przypadku standardem.
Źródła
- The Hacker News — Hackers Target Qlik Sense Servers With Reverse Shell Attempts and Persistence Tactics
- Cynet Research — ZeroQlik Returns: Qlik Sense Exploitation
- Qlik Community — Critical Security fixes for Qlik Sense Enterprise for Windows
- Apache ActiveMQ — CVE-2023-46604 Advisory
- CERT-EU — Security Advisory 2024-092: Critical Vulnerability in Veeam