Tin tặc nhắm vào máy chủ Qlik Sense bằng reverse shell, chuẩn bị khai thác ActiveMQ và Veeam

Nhóm tấn công đã nhắm vào các máy chủ Qlik Sense nhằm triển khai lệnh reverse shell PowerShell trong tháng 10/2026, nhưng các nỗ lực này đã bị chặn. Theo nhóm CyOps và Research của Cynet, hoạt động đáng ngờ được phát hiện trong khoảng thời gian chỉ hơn ba phút, nhắm vào nhiều khách hàng tại châu Âu.

Liên hệ với chiến dịch CACTUS năm 2023

Hoạt động lần này có điểm trùng lặp với chiến dịch được Arctic Wolf ghi nhận vào tháng 11/2023, khi các đối tượng liên quan tới ransomware CACTUS có khả năng đã lợi dụng các lỗ hổng mới công bố của Qlik Sense để có được quyền truy cập ban đầu. Các lỗ hổng này đã được Qlik Sense vá vào tháng 8 và tháng 9/2023, ảnh hưởng tới Qlik Sense Enterprise for Windows:

• CVE-2023-41265 (điểm CVSS 9.6): lỗ hổng HTTP tunneling có thể dẫn tới leo thang đặc quyền, cho phép kẻ tấn công thực thi HTTP request trên máy chủ backend chứa ứng dụng repository.
• CVE-2023-41266 (điểm CVSS 8.2): lỗ hổng path traversal cho phép kẻ tấn công từ xa chưa xác thực tạo phiên ẩn danh và gửi HTTP request tới các endpoint không được phép.
• CVE-2023-48365 (điểm CVSS 9.6): lỗ hổng thực thi mã từ xa chưa xác thực, xuất phát từ việc kiểm tra HTTP header không đúng cách, cho phép leo thang đặc quyền và thực thi HTTP request trên máy chủ backend.

Đáng chú ý, CVE-2023-48365 (còn gọi là DoubleQlik) là bản vá chưa đầy đủ cho CVE-2023-41265. Trong chiến dịch CACTUS tháng 11/2023, kẻ tấn công đã khai thác các lỗ hổng này để tạo chỗ đứng và tải thêm payload nhằm duy trì persistence và điều khiển từ xa, thông qua ManageEngine UEMS, AnyDesk và Plink.

Kỹ thuật tấn công mới

Hoạt động mới nhất mà Cynet phát hiện sử dụng lệnh PowerShell chứa reverse shell một dòng kết nối tới 45.115.26[.]23 qua cổng 4455. Hiện chưa rõ lỗ hổng chính xác bị khai thác để xâm nhập máy chủ Qlik Sense. Công ty an ninh mạng cho biết lệnh này được thực thi dưới tiến trình scheduler.exe, tương tự các vụ xâm nhập Qlik của CACTUS năm 2023.

Dù các nỗ lực tạo reverse shell đã bị chặn, Cynet khi thử nghiệm trong môi trường kiểm soát phát hiện kênh giao tiếp tương tác được dùng để trinh sát và phân phối một script PowerShell nhằm duy trì persistence. Việc này được thực hiện qua reverse shell Go trên Windows kết nối tới 45.115.26[.]23:4456. Backdoor sau đó được dùng để tìm các tiến trình đang chạy liên quan tới Apache ActiveMQ. Trên Linux, mã độc còn cố thu thập thông tin hệ thống và đọc các tệp /etc/shadow và /etc/passwd.

Một biến thể thứ hai của script PowerShell cố cài OpenSSH và tạo tác vụ định kỳ tên WinUpdCheck, khởi chạy reverse shell PowerShell được ghi vào C:\ProgramData\ssh\winc.ps1 mỗi năm phút. Nếu sshd không khả dụng, script tải OpenSSH-Win64.zip từ máy chủ staging, giải nén và chạy install-sshd.ps1; sau đó đặt sshd khởi động tự động, khởi động dịch vụ và thêm quy tắc firewall cho phép TCP 22. Gói lưu trữ này là bản OpenSSH hợp lệ bị kẻ tấn công tái sử dụng.

Hạ tầng chuẩn bị cho tấn công mở rộng

Phân tích sâu hơn hạ tầng cho thấy một thư mục bị lộ tại 45.115.26[.]23:8012, chứa backdoor Go tùy chỉnh cho Windows, các script duy trì persistence qua SSH, công cụ khai thác ActiveMQ cho CVE-2023-46604 và bộ công cụ Veeam công khai đã bị chỉnh sửa cho CVE-2024-40711. Điều này cho thấy kẻ tấn công có thể đang chuẩn bị nền tảng cho các cuộc tấn công quy mô lớn hơn.

Nguồn: The Hacker News