Qlik Sense sunucuları PowerShell ters kabuk saldırısına hedef oldu

Cynet'in CyOps ve Araştırma ekipleri, Ekim 2026'da AB merkezli birden fazla müşteride Qlik Sense sunucularına yönelik şüpheli bir aktivite tespit etti. Ekip, bu olayların yalnızca üç dakikayı biraz aşan dar bir pencere içinde, birçok ortamda başarısız kalan PowerShell ters kabuk komutu gönderilmeye çalışıldığını belirledi.
Cynet, bu hareketin 2023'te Arctic Wolf'un kayıt altına aldığı bir kampanyayla kısmen örtüştüğünü bildirdi. Kasım 2023'teki o kampanyada, CACTUS fidye yazılımı operasyonuyla bağlantılı tehdit aktörlerinin, Qlik Sense'te o dönemde yeni açıklanan zafiyetleri başlangıç erişimi sağlamak için silahlaştırdığı düşünülüyordu.
Karşılaşılan zafiyetler, Qlik Sense tarafından Ağustos ve Eylül 2023'te yamalanmıştı ve hepsi Qlik Sense Enterprise for Windows'u etkiliyordu. Bunlar arasında CVE-2023-41265 (CVSS 9,6), depolama uygulamasını barındıran arka uç sunucuda HTTP isteklerini çalıştırmaya ve yetki yükseltmeye imkân tanıyan bir HTTP tünelleme açığı; CVE-2023-41266 (CVSS 8,2), anonim oturum oluşturup yetkisiz uç noktalara istek yapmayı mümkün kılan yol geçme açığı; ve CVE-2023-48365 (CVSS 9,6, "DoubleQlik" olarak da bilinir), HTTP başlık doğrulamasındaki eksiklikten doğan kimlik doğrulamasız uzak kod çalıştırma açığı yer alıyor. Cynet, CVE-2023-48365'in aslında CVE-2023-41265 için eksik kalan bir düzeltme olduğunu belirtti.

2023 CACTUS kampanyasındaki kalıcılık araçları​

2023 Kasım'daki CACTUS fidye yazılımı kampanyasında, tehdit aktörlerinin bu açıkları isteklerini elde tutmak ve ek yükünergeli indirmek için kullandığı, ayrıca kalıcılık ve uzaktan kontrol sağlamak üzere ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk ve Plink araçlarını dağıttığı gözlemlenmişti.

Ters kabuk ve altyapı bulguları​

Cynet'in tespit ettiği en son olayda, "45.115.26[.]23" adresine 4455 portundan bağlanan tek satırlık bir PowerShell ters kabuk komutu kullanıldı. Cynet, komutun "scheduler.exe" altında çalıştırıldığını ve bunun 2023'teki Cactus Qlik istilalarını andırdığını söyledi. Sunucuya sızmak için tam olarak hangi açığın kullanıldığı şu an bilinmiyor.
Ters kabuk başlatma denemeleri engellenmiş olsa da, Cynet'in kontrollü ortamda testleri, interaktif kanalin istihbarat toplamak ve kalıcılığı sağlayan bir PowerShell betiği teslim etmek için kullanıldığını gösterdi. Bu betik, Apache ActiveMQ ile ilgili aktif çalışan süreçleri arayan, "45.115.26[.]23:4456" adresine bağlanan bir Windows Go ters kabuk arka kapısı içeriyor. Linux tarafında, kötü amaçlı yazılım sistem bilgisi toplamak ve "/etc/shadow" ile "/etc/passwd" dosyalarını okumaya çalışıyor.
PowerShell betiğinin ikinci bir varyantı OpenSSH'i kurmayı, beş dakikalık aralıklarla "C:\ProgramData\ssh\winc.ps1" içindeki ters kabuğu çalıştıran "WinUpdCheck" adlı zamanlanmış görev oluşturmayı hedefliyor. Cynet, "sshd kullanılamazsa Stage sunucusundan OpenSSH-Win64.zip'i indirip açarak install-sshd.ps1'i çalıştırdığını; sshd'yi otomatik başlatma, servisi başlatma ve TCP 22 için gelen bağlantı kuralı eklediğini; arşivin operatör tarafından yeniden kullanılan meşru bir OpenSSH paketi olduğunu" aktardı.

Stage sunucusunda bulunan açıklama​

Altyapı analizinde, özel bir Windows Go arka kapısı, SSH kalıcılık betikleri, CVE-2023-46604 için ActiveMQ açığı ve CVE-2024-40711 için değiştirilmiş kamuya açık Veeam araç zinciri içeren açık bir dizinin ("45.115.26[.]23:8012") ortaya çıkarıldı. Cynet, bulguların tehdit aktörünün daha geniş çaplı saldırılar için zemin hazırladığını düşündürdüğünü bildirdi.

Sıkça Sorulan Sorular​

Cynet bu saldırıyı ne zaman tespit etti?​

Cynet, şüpheli aktivitenin Ekim 2026'da AB merkezli birden fazla müşteride, üç dakikayı biraz aşan dar bir pencre içinde gerçekleştiğini bildirdi.

Saldırıda hangi PowerShell ters kabuk adresi kullanıldı?​

Denemelerde "45.115.26[.]23" adresine 4455 portundan bağlanan tek satırlık bir PowerShell ters kabuk komutu kullanıldı; komut scheduler.exe altında çalıştırıldı.

Bu olay 2023'teki CACTUS kampanyasıyla ne ilişkili?​

Cynet, hareketin Kasım 2023'te Arctic Wolf'un kaydettiği ve CACTUS fidye yazılımıyla bağlantılı aktörlerin Qlik Sense açıklarını başlangıç erişimi için kullandığı kampanyayla kısmen örtüştüğünü tespit etti.

Stage sunucusunda neler bulundu?​

"45.115.26[.]23:8012" dizininde Windows için özel bir Go arka kapısı, SSH kalıcılık betikleri, CVE-2023-46604 ActiveMQ açığı ve CVE-2024-40711 için değiştirilmiş kamuya açık Veeam araç zinciri bulundu.

Sunucuya sızmak için kullanılan açığın tam olarak hangisi olduğu belli mi?​

Hayır; kaynak, Qlik Sense sunucularına sızmak için kullanılan tam açığın şu an bilinmediğini, yalnızca komutun scheduler.exe altında çalıştırıldığını ve 2023 Cactus istilalarını andırdığını bildiriyor.