Angreifer zielen mit Reverse Shells auf Qlik-Sense-Server
Cynet beobachtete im Oktober 2026 Angriffe auf Qlik-Sense-Server, bei denen Akteure erfolglos PowerShell-Befehle für Reverse Shells auszuführen versuchten. Die Aktivität richtete sich laut Cynet gegen mehrere Umgebungen von Kunden in der Europäischen Union und lief in einem Zeitfenster von etwas mehr als drei Minuten ab.
Der genaue Angriff auf die Qlik-Sense-Server ist noch nicht bekannt. Die beobachtete PowerShell-Verbindung sollte den Server mit 45.115.26[.]23 auf Port 4455 verbinden. Cynet sagte, der Befehl sei unter scheduler.exe ausgeführt worden und habe damit den Qlik-Einbrüchen aus dem Jahr 2023 geähnelt.
Die früheren Qlik-Sense-Schwachstellen wurden im August und September 2023 behoben. Betroffen war Qlik Sense Enterprise für Windows mit CVE-2023-41265, CVE-2023-41266 und CVE-2023-48365. CVE-2023-41265 ermöglichte laut der Beschreibung HTTP-Tunneling mit möglicher Rechteausweitung, CVE-2023-41266 einen nicht authentifizierten Zugriff auf nicht freigegebene Endpunkte über Path Traversal, und CVE-2023-48365 eine nicht authentifizierte Remote-Code-Ausführung. Betreiber sollten prüfen, ob diese Korrekturen auf ihren Qlik-Sense-Systemen installiert sind.
Die Reverse Shells wurden laut Cynet blockiert. Tests in einer kontrollierten Umgebung zeigten jedoch, dass der interaktive Kanal zur Aufklärung und zum Nachladen eines PowerShell-Skripts für Persistenz genutzt werden konnte. Eine weitere Variante installierte OpenSSH, legte die geplante Aufgabe WinUpdCheck an und startete die Reverse Shell anschließend in Abständen von fünf Minuten.
Cynet fand außerdem ein offenes Verzeichnis mit einer Go-Backdoor für Windows, Skripten zur SSH-Persistenz, einem Exploit für Apache ActiveMQ gegen CVE-2023-46604 und einer veränderten Veeam-Toolchain für CVE-2024-40711. Die Zusammenstellung deutet laut Cynet möglicherweise auf Vorbereitungen für weitere Angriffe hin; ein erfolgreicher Einbruch über eine bestimmte Qlik-Sense-Schwachstelle ist für die aktuelle Aktivität nicht belegt.