Aktor ancaman siber terpantau berupaya menyerang server Qlik Sense guna menyebarkan perintah reverse shell PowerShell tanpa keberhasilan ke berbagai lingkungan sistem pada Oktober 2026.
Tim CyOps dan Riset Cynet menyatakan berhasil mendeteksi pergerakan mencurigakan tersebut pada Oktober 2026 yang menyasar beberapa konsumen berbasis di Uni Eropa hanya dalam rentang waktu singkat sekitar tiga menit.
Aktivitas digital tersebut memiliki keterkaitan operasional tertentu dengan aksi serangan siber pada November 2023 yang dilaporkan oleh Arctic Wolf, di mana pelaku yang terafiliasi dengan operasi ransomware CACTUS diduga memanfaatkan celah keamanan baru di Qlik Sense demi meraih akses awal.
Celah kerentanan yang dimaksud telah diperbaiki oleh pihak pengembang pada Agustus dan September 2023, yang secara spesifik memengaruhi platform Qlik Sense Enterprise for Windows.
Perlu dicatat pula bahwa identifikasi CVE-2023-48365 atau dikenal sebagai DoubleQlik merupakan penanganan yang tidak tuntas terhadap masalah keamanan CVE-2023-41265.
Pada gelombang serangan ransomware CACTUS November 2023, para peretas menyalahgunakan celah keamanan tersebut guna membangun pijakan awal serta mengunduh berbagai muatan tambahan demi menanamkan persistensi dan memegang kendali jarak jauh melalui penyebaran piranti ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk, serta Plink.
Manuver terbaru yang diidentifikasi Cynet memanfaatkan perintah PowerShell berisi baris tunggal reverse shell yang terhubung menuju alamat "45.115.26[.]23" melalui port 4455. Celah spesifik yang dipakai menyusup ke server Qlik Sense hingga kini belum diketahui secara pasti.
"Perintah dieksekusi di bawah scheduler.exe, mirip dengan peristiwa intrusi Qlik oleh Cactus pada 2023," jelas perusahaan keamanan siber tersebut.
Meski usaha memicu reverse shell sukses digagalkan, uji coba laboratorium Cynet di lingkungan tertutup menunjukkan bahwa kanal interaktif tersebut dirancang untuk pengintaian dan pendistribusian skrip PowerShell demi menjaga persistensi malware.
Hal tersebut diwujudkan memakai reverse shell Windows berbasis Go yang tersambung ke "45.115.26[.]23:4456." Backdoor itu kemudian mencari proses aktif Apache ActiveMQ. Di sistem Linux, malware turut memanen detail sistem dan membaca dokumen "/etc/shadow" serta "/etc/passwd".
Varian kedua skrip PowerShell mencoba memasang OpenSSH dan membentuk tugas terjadwal bernama "WinUpdCheck" yang mengaktifkan reverse shell beralamat "C:ProgramDatasshwinc.ps1" setiap jeda lima menit.
"Bila sshd tetap tidak aktif, ia mengunduh OpenSSH-Win64.zip dari server persiapan, mengekstraknya, dan menjalankan install-sshd.ps1," urai Cynet. "Skrip menyetel sshd ke startup otomatis, menyalakan layanan, dan membuat aturan firewall inbound TCP 22. Arsip tersebut merupakan paket OpenSSH asli yang dimanfaatkan ulang pelaku."
Pemeriksaan menyeluruh pada infrastruktur turut menemukan direktori terbuka ("45.115.26[.]23:8012") berisi backdoor Go modifikasi Windows, skrip persistensi SSH, eksploit ActiveMQ CVE-2023-46604, dan modifikasi perkakas Veeam CVE-2024-40711, menandakan persiapan aksi penyerangan yang lebih luas.
