Хакери атакують сервери Qlik Sense: зворотні оболонки та підготовка експлойтів для ActiveMQ і Veeam

Що сталося

У жовтні 2026 року дослідники Cynet (команди CyOps і Research) зафіксували серію атак на сервери Qlik Sense Enterprise for Windows у кількох європейських компаній. Всі інциденти вклалися у дуже вузьке вікно — трохи більше трьох хвилин. Найцікавіше не в самій спробі проникнення, а в тому, що зловмисники готували наступний крок: на тому ж інфраструктурному сервері знайшли експлойти для Apache ActiveMQ та Veeam Backup & Replication. Це означає, що атака на Qlik Sense — лише перший етап ширшої кампанії, яка ще розгортається.

Атаки поки що були невдалими: захисні механізми Cynet заблокували запуск зворотної оболонки. Але сам факт того, що зловмисники тримають на стейджінг-сервері готовий арсенал під кілька відомих уразливостей, має змусити насторожитися будь-яку організацію, що використовує BI-платформи, черги повідомлень та системи резервного копіювання.

Ця історія — ще одне підтвердження тривожної тенденції, яку фахівці називають «експлуатацією n-day»: зловмисники дедалі частіше не шукають нові 0-day, а методично використовують вразливості, для яких патчі вже вийшли місяці чи роки тому, але досі не встановлені. Виграш очевидний — готовий, перевірений експлойт коштує набагато дешевше, ніж розробка нового.

Як виглядає атака: зворотна оболонка під scheduler.exe

Ключова ознака атаки — підозріла послідовність «батьківський процес → дочірній процес» на серверах Qlik Sense. Процес scheduler.exe (служба планувальника Qlik Sense) породжував cmd.exe, який своєю чергою запускав прихований PowerShell з командою зворотного підключення:

scheduler.exe → cmd.exe /c → powershell -nop -w hidden -enc 

Сам шелл — це добре відомий публічний одностроковий скрипт Invoke-PowerShellTcpOneLine з набору Nishang. Він встановлював TCP-з'єднання з командно-контрольним сервером 45.115.26.23 на порт 4455. Така схема — «легітимний сервіс запускає інтерактивну оболонку» — майже ніколи не є нормальною поведінкою, тому саме вона й спрацювала як головний сигнал виявлення.

Після декодування першого шару PowerShell Cynet побачила два етапи. Спершу скрипт через WebClient відправляв на HTTP-ендпоінт ідентифікатори машини — ім'я комп'ютера та ім'я користувача (так звана «реєстрація» жертви). Далі окремий прихований PowerShell-процес запускав саму зворотну оболонку. Реєстраційний запит був обгорнутий у порожній блок обробки помилок, щоб продовжити виконання навіть у разі невдачі.

Команди, які надсилає сервер керування, розділені маркерами F1, F2, F3 — так зловмисники спрощують собі читання виводу. На Windows виконувалася класична розвідка: whoami & hostname & ver, пошук рядка "OS Name" у systeminfo, пошук процесів java activemq wrapper, а потім netstat із фільтром по портах 61616, 8161, 22 і 3389. У Linux-версії шелла (проаналізованій у пісочниці CAPE) зловмисники збирали ідентифікатори користувача, версію ядра, uptime, інформацію про PID 1, шукали процеси ActiveMQ та шляхи встановлення, переглядали слухаючі порти, читали /etc/shadow і /etc/passwd, збирали дані про OpenWrt-пристрої та ARP-таблицю, а також інформацію про диск і пам'ять.

Окрім PowerShell-шелла, в арсеналі був і Go-бекдор для Windows, який підключається до того ж сервера на порт 4456. За даними звіту Joe Sandbox, його розвідувальні команди майже збігаються з PowerShell-версією, але з однією помітною відмінністю — Go-бекдор активніше шукав саме ActiveMQ: і серед запущених процесів, і серед портів 61616 та 8161.

Відлуння кампанії Cactus 2023 року

Паттерн атаки дуже нагадує кампанію програм-вимагачів Cactus, яку в листопаді 2023 року документувала Arctic Wolf. Тоді зловмисники також зловживали службою планувальника Qlik Sense, щоб запускати довільні процеси.

Відомі вразливості Qlik Sense, які фігурують у цьому контексті:

• CVE-2023-41265 — обхід обмежень через HTTP-тунелювання запитів;
• CVE-2023-41266 — path traversal, що дозволяє оминати перевірки доступу;
• CVE-2023-48365 (DoubleQlik) — обхід неповного виправлення для CVE-2023-41265, який знову відкривав несанкціоноване виконання коду через зовнішні програмні завдання.

У кампанії Cactus експлуатація цих вад дозволяла виконувати команди під процесом scheduler.exe, що повністю збігається з деревом процесів, яке Cynet спостерігала у 2026 році. Однак дослідники підкреслюють: яка саме вразливість використана для початкового доступу цього разу — наразі невідомо, а інструментів експлуатації Qlik на стейджінг-сервері не знайдено.

Хто стоїть за атакою

Офіційної атрибуції наразі немає, і Cynet підкреслює, що зв'язок із кампанією Cactus 2023 року — лише частковий. Спільним є використання служби планувальника Qlik Sense для запуску оболонок, але хто конкретно діє у 2026 році — невідомо. Хеші файлів для нової кампанії дослідники не публікували, а спроба зіставити C2-адресу з іншими кампаніями результату не дала.

Відкритим лишається і головне питання початкового доступу: яка саме вразливість Qlik Sense була використана. Дослідники припускають, що це комбінація CVE-2023-41266 і CVE-2023-41265 або пізніша CVE-2023-48365 (DoubleQlik), але підтвердити це поки неможливо. Відсутність інструментів експлуатації Qlik на стейджінг-сервері лише підсилює невизначеність.

Стейджінг-сервер: арсенал для наступних атак

Інфраструктурний сервер 45.115.26.23 виявився для дослідників справжнім скарбом. На порту 8012 було відкрито HTTP-каталог із вмістом, який пов'язує Qlik-атаку з набагато ширшим набором інструментів доступу:

• Go-бекдор для Windows (wsvc.exe) та збірки для кількох Linux-архітектур і вбудованих систем;
• скрипти персистентності (persist.ps1), які додають публічний ключ Ed25519 до файлу C:\ProgramData\ssh\administrators_authorized_keys, знімають успадковані права та надають повний контроль адміністраторам і SYSTEM;
• встановлення OpenSSH: якщо служба sshd недоступна, скрипт завантажує легітимний архів OpenSSH-Win64.zip зі стейджінг-сервера, розпаковує його, запускає інсталяцію, налаштовує автозапуск і додає правило файрвола для TCP 22;
• плановане завдання WinUpdCheck, яке кожні п'ять хвилин запускає зворотну оболонку з файлу C:\ProgramData\ssh\winc.ps1.

У лабораторії Cynet запустила зворотну оболонку, щоб побачити, які команди надсилає сервер керування. Це були класичні розвідувальні команди: whoami, hostname, systeminfo, перегляд процесів java/activemq/wrapper, а також netstat із пошуком відкритих портів 61616, 8161, 22 і 3389. На Linux-системах зловмисники збирали дані про ядро й систему, шукали процеси ActiveMQ, переглядали каталоги /opt, /usr/local, /www/wwwroot, намагалися читати /etc/shadow і /etc/passwd, а також перевіряли наявність каталогів SmarterMail.

ActiveMQ (CVE-2023-46604): наступна ціль

Окремий інтерес зловмисників викликає Apache ActiveMQ. У відкритому каталозі лежали три XML-пейлоади (poc_amq.xml, poc_amq2.xml, poc_amq3.xml), які Cynet ідентифікувала як експлойт-матеріали для CVE-2023-46604.

Ця вразливість дозволяє віддалене виконання коду через небезпечну інстанціацію класів під час обробки протоколу OpenWire у Java. У жовтні–листопаді 2023 року її масово експлуатували, зокрема для розгортання програм-вимагачів. Виправлення з'явилися у версіях ActiveMQ 5.15.16, 5.16.7, 5.17.6 та 5.18.3.

Примітно, що команди розвідки на Windows-машинах явно шукали запущені процеси ActiveMQ та порти 61616 і 8161 — типові порти цього брокера. Водночас Cynet зазначає: успішної експлуатації ActiveMQ у клієнтів не спостерігалося, а інструменти, схоже, ще перебувають у стадії тестування.

Veeam (CVE-2024-40711): удар по резервних копіях

Чи не найтривожніша знахідка — архів ysosrc.tgz із модифікованою копією публічного інструментарію watchTowr для CVE-2024-40711, побудованого на базі ysoserial.net (генератора .NET-десеріалізаційних пейлоадів).

CVE-2024-40711 — це уразливість несанкціонованого віддаленого виконання коду у Veeam Backup & Replication, яка впливає на версії 12.1.2.172 і раніше та виправлена у збірці 12.2.0.334. Вона складається з двох компонентів: помилки неправильної авторизації та проблеми десеріалізації. Генератор у знайденому вихідному коді (VeeamGenerator.cs) націлений на remoting-ендпоінт Mount Service за адресою tcp://:6170/PermanentSessionService.

Ключовий нюанс: вбудований callback у пейлоаді вказував на 127.0.0.1:8005/trigger — тобто на локальну адресу. Це свідчить про те, що артефакт відображає локальне тестування, а не інструмент, який уже використовують у бойовій кампанії. Дослідники роблять висновок: ActiveMQ- та Veeam-експлойти ще не готові до застосування — зловмисники, ймовірно, лише готують ґрунт для ширших атак.

Чому це важливо саме для Veeam: резервні копії — останній рубіж захисту від програм-вимагачів. Успішна компрометація системи резервного копіювання дозволяє атакуючому знищити або зашифрувати бекапи й фактично позбавити жертву можливості відновлення без сплати викупу. Саме тому зловмисники так активно полюють на Veeam-інфраструктуру.

Як захиститися: практичні кроки

Навіть попри те, що активна фаза кампанії проти Veeam та ActiveMQ ще не підтверджена, підготовка варта уваги. Cynet рекомендує:

1. Пропатчити Qlik Sense Enterprise for Windows до версії, що закриває CVE-2023-41265, CVE-2023-41266 та CVE-2023-48365, і не виставляти сервери Qlik Sense у відкритий інтернет без необхідності.
2. Оновити Apache ActiveMQ до версії 5.18.3 або новішої (або 5.15.16 / 5.16.7 / 5.17.6 для старших гілок), щоб закрити CVE-2023-46604.
3. Оновити Veeam Backup & Replication до збірки 12.2.0.334 або новішої, щоб усунути CVE-2024-40711.
4. Заблокувати індикатор компрометації — IP-адресу 45.115.26.23 (зокрема порти 4455, 4456 і 8012) на файрволі та в системах моніторингу.
5. Налаштувати виявлення поведінки: відстежувати випадки, коли scheduler.exe (або інші легітимні сервіси) породжують cmd.exe чи powershell — це аномалія, яка спрацювала й у цьому випадку.
6. Перевірити, чи не скомпрометований сервер: якщо ознаки атаки виявлено, видалити доданий SSH-ключ, заплановане завдання WinUpdCheck і службу wsvc, після чого змінити всі облікові дані, що зберігалися на цій машині.
7. Ізолювати інфраструктуру резервного копіювання: Veeam-сервер не повинен вільно досягатися з основних систем; використовуйте окремі облікові записи та дотримуйтеся правила 3-2-1 (три копії, два різні носії, одна офлайн). Незмінні (immutable) сховища ускладнюють шифрування бекапів навіть після компрометації мережі.

Додатково варто перевірити, чи не потрапили облікові дані компанії у відкриті бази витоків — наприклад, скористатися нашим сервісом перевірки витоків даних.

Висновок

Історія з Qlik Sense — це нагадування про те, що «старі» вразливості не вмирають: зловмисники активно використовують n-day експлойти 2023–2024 років, бо багато організацій досі не закрили їх. Головний урок — не відкладати оновлення. Схема атаки показує класичну послідовність: початковий доступ через відому ваду BI-платформи, розвідка, закріплення через SSH та планове завдання, а далі — рух до більш цінних цілей, таких як брокер повідомлень і система резервного копіювання.

Поки що атаки були заблоковані, а інструменти для ActiveMQ і Veeam виглядають незавершеними. Але це лише питання часу: арсенал уже на стейджінг-сервері, і тестування, судячи з артефактів, триває. Для українських компаній, які активно використовують Veeam для резервного копіювання, це сигнал перевірити версії програмного забезпечення та закрити відомі вразливості до того, як вони будуть використані проти вас.