Sejumlah pelaku kejahatan siber dilaporkan mengincar server Qlik Sense dalam upaya gagal mengirimkan instruksi PowerShell reverse shell ke beberapa infrastruktur jaringan pada Oktober 2026.
Tim CyOps dan Riset Cynet menyatakan bahwa mereka mendeteksi aktivitas mencurigakan ini pada Oktober 2026 terhadap sejumlah klien yang berlokasi di Uni Eropa dalam rentang waktu yang sangat singkat, yakni sekitar tiga menit saja.
Pola serangan tersebut memiliki kemiripan tertentu dengan operasi siber pada November 2023 yang pernah didokumentasikan oleh Arctic Wolf, saat kelompok peretas yang terafiliasi dengan ransomware CACTUS diduga memanfaatkan kerentanan Qlik Sense yang baru diungkapkan untuk mengamankan akses masuk pertama ke sistem korban.
Kelemahan keamanan yang dimaksud telah diperbaiki oleh pihak pengembang pada Agustus serta September 2023, yang berdampak secara langsung pada Qlik Sense Enterprise for Windows.
Penting dicatat bahwa celah keamanan CVE-2023-48365 (dikenal sebagai DoubleQlik) merupakan penanganan yang belum tuntas terhadap kerentanan CVE-2023-41265.
Dalam gelombang serangan ransomware CACTUS pada November 2023, para peretas terbukti menyalahgunakan kelemahan itu demi membangun pijakan awal dan mengunduh muatan lanjutan untuk memastikan kendali jarak jauh melalui pemasangan ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk, serta Plink.
Insiden terkini yang ditemukan Cynet memanfaatkan baris perintah PowerShell satu baris berisi instruksi reverse shell yang menghubungi alamat "45.115.26[.]23" pada port 4455. Celah spesifik yang dieksploitasi pelaku guna menyusup ke server Qlik Sense tersebut masih belum dapat dipastikan hingga sekarang.
"Perintah dieksekusi di bawah scheduler.exe, menyerupai penyusupan Qlik oleh Cactus pada tahun 2023," jelas perusahaan keamanan siber tersebut.
Kendati manuver untuk mengeksekusi reverse shell berhasil digagalkan, analisis laboratorium terkontrol Cynet memperlihatkan bahwa kanal interaktif tersebut dirancang untuk pemindaian sistem serta pengiriman skrip PowerShell penunjang persistensi.
Upaya ini direalisasikan memakai reverse shell Windows berbasis Go yang terhubung langsung ke "45.115.26[.]23:4456". Pintu belakang (backdoor) tersebut lalu difungsikan untuk memindai proses aktif yang berhubungan dengan Apache ActiveMQ. Sementara pada sistem operasi Linux, program jahat ini berupaya mengumpulkan data konfigurasi perangkat dan membaca berkas "/etc/shadow" serta "/etc/passwd".
Varian kedua dari skrip PowerShell mencoba mengonfigurasi OpenSSH dan memprogram tugas terjadwal bernama "WinUpdCheck" yang mengaktifkan reverse shell PowerShell di lokasi "C:ProgramDatasshwinc.ps1" setiap lima menit sekali.
"Jika layanan sshd belum aktif, skrip mengunduh OpenSSH-Win64.zip dari server staging, mengekstraknya, dan menjalankan install-sshd.ps1," papar Cynet. "Sistem mengatur sshd ke mode otomatis, menyalakannya, serta membuat aturan firewall baru untuk TCP 22. Arsip tersebut merupakan paket OpenSSH asli yang dimanfaatkan ulang oleh penyerang."
Pemeriksaan menyeluruh pada infrastruktur turut mengungkap direktori terbuka ("45.115.26[.]23:8012") yang memuat backdoor kustom Go untuk Windows, skrip persistensi SSH, eksploit ActiveMQ untuk CVE-2023-46604, serta paket eksploit Veeam termodifikasi untuk CVE-2024-40711, menandakan penyerang tengah menyiapkan pondasi bagi serangan skala besar berikutnya.