Sejumlah pelaku kejahatan siber terpantau berupaya menyerang server Qlik Sense guna mengirimkan perintah reverse shell berbasis PowerShell tanpa hasil sukses ke berbagai lingkungan jaringan pada Oktober 2026.
Tim CyOps dan Riset Cynet menyatakan bahwa mereka menemukan insiden mencurigakan tersebut pada Oktober 2026 yang menargetkan beberapa pelanggan di wilayah Uni Eropa dalam rentang waktu yang sangat singkat, yakni sedikit melebihi tiga menit.
Operasi siber ini terbukti memiliki kemiripan serta keterkaitan tertentu dengan aksi serangan pada November 2023 yang didokumentasikan oleh Arctic Wolf, saat pelaku ancaman yang berelasi dengan jaringan ransomware CACTUS kemungkinan besar memanfaatkan celah keamanan baru pada Qlik Sense untuk meraih akses awal menuju sistem target.
Celah-celah keamanan yang dimaksud, yang telah ditambal secara resmi oleh pihak Qlik Sense pada rentang Agustus dan September 2023, memengaruhi perangkat lunak Qlik Sense Enterprise for Windows.
Perlu digarisbawahi bahwa CVE-2023-48365 (yang dikenal dengan nama DoubleQlik) merupakan perbaikan yang belum tuntas untuk kerentanan CVE-2023-41265.
Pada kampanye ransomware CACTUS di November 2023 silam, peretas kedapatan menyalahgunakan kelemahan tersebut guna membangun pijakan awal serta mengunduh muatan berbahaya tambahan demi mengamankan persistensi dan kendali jarak jauh melalui pemasangan ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk, serta Plink.
Insiden terbaru yang ditemukan oleh Cynet melibatkan pemakaian baris perintah PowerShell berupa reverse shell satu baris yang berupaya tersambung ke alamat "45.115.26[.]23" melalui port 4455. Kerentanan pasti yang dipakai untuk meretas server Qlik Sense sampai sekarang belum diketahui secara jelas.
"Perintah tersebut dieksekusi di bawah scheduler.exe, menyerupai aksi intrusi Cactus Qlik tahun 2023," jelas pihak perusahaan keamanan siber tersebut.
Kendati usaha untuk memicu reverse shell tersebut berhasil digagalkan, analisis laboratorium Cynet dalam ruang terkendali mengungkap bahwa saluran komunikasi interaktif itu difungsikan guna melakukan pengintaian dan meluncurkan skrip PowerShell yang mengatur ketahanan akses.
Tujuan ini diwujudkan melalui reverse shell Go berbasis Windows yang menghubungkan diri ke "45.115.26[.]23:4456." Pintu belakang ini kemudian dipakai menyisir proses aktif yang berkaitan dengan Apache ActiveMQ. Di sistem Linux, perangkat perusak tersebut juga berupaya menghimpun rincian sistem dan membaca dokumen "/etc/shadow" serta "/etc/passwd".
Varian kedua dari berkas skrip PowerShell berupaya memasang OpenSSH dan membentuk tugas terjadwal berlabel "WinUpdCheck" yang mengaktifkan reverse shell PowerShell di "C:ProgramDatasshwinc.ps1" setiap jeda lima menit.
"Bila sshd tetap tidak tersedia, skrip mengunduh OpenSSH-Win64.zip dari server staging, mengekstraknya, lalu menjalankan install-sshd.ps1," papar Cynet. "Skrip ini mengatur sshd berjalan otomatis, menghidupkan layanannya, dan menambahkan aturan firewall masuk untuk port TCP 22. Berkas arsip tersebut adalah paket resmi OpenSSH yang didaur ulang operator."
Pemeriksaan infrastruktur penyerang lebih lanjut mengungkap sebuah direktori terbuka ("45.115.26[.]23:8012") yang memuat backdoor Go khusus untuk Windows, skrip persistensi SSH, eksploitasi ActiveMQ untuk CVE-2023-46604, serta rangkaian perangkat Veeam hasil modifikasi untuk CVE-2024-40711, yang mengindikasikan pelaku kemungkinan tengah mempersiapkan landasan bagi serangan berskala lebih luas.
