Qlik Sense sunucuları hedef alınarak PowerShell ters kabuk saldırıları

Cynet Araştırmacılar, Ekim 2026’da Qlik Sense sunucularına yönelik yürütülen ve başarısız kalan PowerShell ters kabuk denemelerini raporladı. Şirket, şüpheli etkinliğin dar bir zaman diliminde, birkaç AB merkezli müşteri ortamında tespit edildiğini bildirdi.

2023 CACTUS kampanyasıyla örtüşen izler​

İzleme ekibine göre olay, 2023 Kasım’ında Arctic Wolf tarafından belgelenen bir kampanyayla kısmen örtüşüyor. O dönem CACTUS fidye yazılımı operasyonuna bağlı grupların, o sıralarda yeni açıklanan Qlik Sense açıklarını silahlaştırarak başlangıç erişimi sağladığı aktarılmıştı. Bu açıklar, ilgili dönemdeki Qlik Sense güncellemeleriyle kapatılmıştı.

İlgili açıklar​

• CVE-2023-41265 (CVSS skoru: 9.6) — HTTP tünellemeye dayanan bir yetki yükseltme ve istek yürütme açığı.
• CVE-2023-41266 (CVSS skoru: 8.2) — Oturum doğrulaması olmadan yetkisiz uç noktalarına istek yapılmasına olanak tanıyan yol yürüyüşü açığı.
• CVE-2023-48365 (CVSS skoru: 9.6) — HTTP başlıklarının yetersiz doğrulanmasından kaynaklanan, yetkisiz uzaktan kod yürütülmesine yol açan “DoubleQlik” olarak bilinen açık. Bu açık, önceki açıkların eksik kalan düzeltmesi olarak nitelendiriliyor.

\n

İzlenen payloadlar​

Cynet ekibi, yeni saldırıda PowerShell komutuyla 45.115.26[.]23 adresine 4455 portu üzerinden tek satırlık bir ters kabuk bağlantısı kurulmaya çalışıldığını aktardı. Şirket, denemenin scheduler.exe bağlamında yürütüldüğünü ve 2023’teki olaya benzediğini ifade etti. Ters kabuğun engellendiği belirtildi.
Ayrıca kontrollü ortamda yapılan incelemede, kabuğun bir etkileşimli kanal üzerinden keşif işlemleri ve kalıcılık kurmaya yönelik bir PowerShell betiğinin yürütülmesi için kullanıldığı öne sürülüyor. Bu betiğin pencere hedefli bir Go ters kabuğuna bağlanarak, Apache ActiveMQ ile ilişkili çalışan işlemleri taramaya çalıştığı aktarıldı.

ActiveMQ ve Veeam izleri​

Şirket, altyapı analizinde 45.115.26[.]23 adresinde bir dizinin açıkta bırakıldığını ve bu dizinde Windows için özel bir Go arka kapısının, SSH kalıcılık betiklerinin, ActiveMQ için CVE-2023-46604 istismarının ile Veeam araç kümesinde CVE-2024-40711’e yönelik modifiye edilmiş bileşenlerin bulundurulduğunu raporladı.