Sejumlah pelaku ancaman siber terpantau berupaya menyusup ke server Qlik Sense guna mengirimkan perintah reverse shell PowerShell secara gagal ke beberapa lingkungan sistem pada Oktober 2026.
Tim Peneliti dan CyOps dari Cynet mengungkapkan temuan aktivitas mencurigakan tersebut pada Oktober 2026, yang menyasar sejumlah pelanggan di wilayah Uni Eropa hanya dalam rentang waktu singkat sekitar tiga menit.
Pola serangan ini teridentifikasi memiliki kemiripan tertentu dengan operasi siber pada November 2023 yang dilaporkan oleh Arctic Wolf, saat kelompok peretas yang terhubung dengan ransomware CACTUS diduga memanfaatkan kerentanan teranyar Qlik Sense untuk meraih akses awal sistem.
Celah keamanan bersangkutan, yang telah diperbaiki oleh pihak pengembang pada Agustus dan September 2023, memengaruhi aplikasi Qlik Sense Enterprise for Windows.
Penting dicatat bahwa CVE-2023-48365 (atau DoubleQlik) merupakan perbaikan yang belum tuntas untuk mengatasi kerentanan CVE-2023-41265.
Pada rangkaian serangan ransomware CACTUS di November 2023, peretas terlihat mengeksploitasi celah itu untuk menancapkan akses awal serta mengunduh muatan berbahaya tambahan guna membangun persistensi serta kendali jarak jauh lewat instalasi ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk, dan Plink.
Insiden terkini yang dideteksi Cynet memperlihatkan eksekusi skrip PowerShell berisi perintah reverse shell satu baris yang terhubung menuju alamat "45.115.26[.]23" melalui port 4455. Kerentanan pasti yang dipakai untuk meretas server Qlik Sense saat ini belum berhasil diketahui.
"Perintah tersebut dijalankan di bawah proses scheduler.exe, sangat mirip dengan intrusi Cactus pada Qlik tahun 2023," jelas penyedia solusi keamanan siber tersebut.
Kendati manuver peluncuran reverse shell berhasil digagalkan, analisis laboratorium Cynet menemukan bahwa kanal komunikasi interaktif tersebut sebenarnya difungsikan untuk pengintaian sistem dan penyebaran skrip PowerShell penunjang persistensi.
Taktik ini dieksekusi memakai reverse shell Windows berbasis Go yang tersambung ke "45.115.26[.]23:4456." Backdoor itu kemudian memeriksa proses aktif milik Apache ActiveMQ. Di sistem Linux, malware turut menghimpun data sistem serta membaca berkas "/etc/shadow" dan "/etc/passwd".
Varian kedua dari skrip PowerShell berupaya memasang OpenSSH dan membentuk jadwal tugas bernama "WinUpdCheck" yang mengaktifkan reverse shell di direktori "C:ProgramDatasshwinc.ps1" setiap jeda lima menit.
"Apabila sshd belum aktif, berkas OpenSSH-Win64.zip diunduh dari server penampung, diekstrak, lalu mengeksekusi install-sshd.ps1," papar Cynet. "Proses itu mengatur sshd menyala otomatis, mengaktifkan layanannya, dan mendaftarkan aturan firewall inbound TCP 22. Berkas arsip tersebut merupakan paket resmi OpenSSH yang dipakai ulang operator peretas."
Pemeriksaan mendalam terhadap infrastruktur menemukan direktori terbuka ("45.115.26[.]23:8012") berisi backdoor Go khusus Windows, skrip persistensi SSH, eksploit ActiveMQ untuk CVE-2023-46604, dan rangkaian alat Veeam modifikasi untuk CVE-2024-40711, menandakan pelaku tengah menyiapkan landasan serangan yang lebih luas.
About the Author
