Hackers atacam servidores Qlik Sense com reverse shells e exploits contra ActiveMQ e Veeam

12 de Novembro de 2026

Atores de ameaça foram observados mirando servidores Qlik Sense em outubro de 2026, em tentativas malsucedidas de executar comandos PowerShell para abrir um reverse shell em vários ambientes.

As equipes CyOps e de pesquisa da Cynet disseram ter identificado a atividade suspeita em outubro de 2026 contra vários clientes na União Europeia. As tentativas ocorreram em um intervalo de pouco mais de três minutos.

A atividade apresenta algumas semelhanças com uma campanha documentada pela Arctic Wolf em novembro de 2023. Na ocasião, atores de ameaça ligados à operação de ransomware CACTUS provavelmente exploraram falhas recém-divulgadas no Qlik Sense para obter acesso inicial aos ambientes visados.

As vulnerabilidades em questão, corrigidas pelo Qlik Sense em agosto e setembro de 2023, afetam o Qlik Sense Enterprise para Windows:

- CVE-2023-41265 (CVSS 9,6): uma falha de tunelamento HTTP que poderia levar à elevação de privilégios e permitir que um invasor enviasse solicitações HTTP ao servidor backend que hospeda o aplicativo de repositório.
- CVE-2023-41266 (CVSS 8,2): uma falha de directory traversal que poderia permitir que um invasor remoto não autenticado criasse uma sessão anônima e enviasse solicitações HTTP a endpoints não autorizados.
- CVE-2023-48365 (CVSS 9,6): uma falha de execução remota de código sem autenticação, causada pela validação inadequada de cabeçalhos HTTP. Ela permitiria que um invasor elevasse seus privilégios ao tunelar solicitações HTTP e executasse comandos no servidor backend.

A CVE-2023-48365 , também conhecida como DoubleQlik, é uma correção incompleta para a CVE-2023-41265 .

Na campanha de ransomware CACTUS de novembro de 2023, os atores de ameaça foram vistos explorando as falhas para estabelecer um ponto de apoio e baixar payloads adicionais. O objetivo era garantir persistência e controle remoto por meio da instalação do ManageEngine Unified Endpoint Management and Security (UEMS), do AnyDesk e do Plink.

A atividade mais recente detectada pela Cynet envolve um comando PowerShell de linha única que abre um reverse shell e se conecta ao endereço "45.115.26[.]23" pela porta 4455. Ainda não se sabe qual vulnerabilidade foi explorada para invadir os servidores Qlik Sense.

“O comando foi executado pelo processo scheduler.exe, em um padrão semelhante ao das invasões ao Qlik associadas ao Cactus em 2023”, afirmou a empresa de cibersegurança.

Embora as tentativas de iniciar o reverse shell tenham sido bloqueadas, testes da Cynet em um ambiente controlado revelaram que o canal de comunicação interativo é usado para reconhecimento e para entregar um script PowerShell que estabelece persistência.

Isso é feito por meio de um reverse shell para Windows, escrito em Go, que se conecta a "45.115.26[.]23:4456". Em seguida, a backdoor é usada para procurar processos em execução relacionados ao Apache ActiveMQ. No Linux, o malware também tenta coletar informações do sistema e ler os arquivos "/etc/shadow" e "/etc/passwd".

Uma segunda variante do script PowerShell tenta instalar o OpenSSH e cria uma tarefa agendada chamada "WinUpdCheck". A tarefa executa, a cada cinco minutos, um reverse shell PowerShell salvo em "C:\ProgramData\ssh\winc.ps1".

“Se o sshd não estivesse disponível, o script baixava o OpenSSH-Win64.zip do servidor de staging, extraía o conteúdo e executava o install-sshd.ps1”, informou a Cynet. “O sshd era configurado para iniciar automaticamente, o serviço era iniciado e uma regra de entrada no firewall era criada para a porta TCP 22. O arquivo compactado era um pacote legítimo do OpenSSH reutilizado pelo operador.”

Uma análise adicional da infraestrutura revelou um diretório exposto em "45.115.26[.]23:8012". Ele continha uma backdoor personalizada para Windows, escrita em Go, scripts de persistência por SSH, um exploit do ActiveMQ para a CVE-2023-46604 e um conjunto de ferramentas públicas do Veeam modificado para explorar a CVE-2024-40711. Os achados indicam que o ator de ameaça pode estar preparando o terreno para ataques mais amplos.

Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...