Qlik Sense sunucularına reverse shell denemeleri: saldırganın sunucusunda ActiveMQ ve Veeam exploit'leri hazır bekliyordu
Cynet, Ekim 2026'da AB'deki birkaç müşterisinin Qlik Sense sunucularında üç dakikalık bir pencerede PowerShell reverse shell denemeleri gördüğünü açıkladı. Denemeler engellendi; ancak saldırganın açık kalan dizininde Go ile yazılmış bir backdoor, SSH kalıcılık betikleri ve ActiveMQ ile Veeam için exploit araçları bulundu.
Güvenlik şirketi Cynet, Ekim 2026'da Avrupa Birliği'ndeki birkaç müşterisinin Qlik Sense sunucularında şüpheli etkinlik tespit ettiğini açıkladı. The Hacker News'ün aktardığı rapora göre saldırganlar, üç dakikadan biraz uzun süren dar bir zaman aralığında birden fazla ortamda PowerShell ile reverse shell açmayı denedi. Denemelerin tamamı engellendi.
Sunuculara hangi açık üzerinden girildiği bilinmiyor. Cynet, komutların scheduler.exe süreci altında çalıştığını ve bu davranışın 2023'teki CACTUS ransomware saldırılarını andırdığını belirtiyor. O dönemde Arctic Wolf, CACTUS ile bağlantılı aktörlerin Qlik Sense Enterprise for Windows'taki üç açığı initial access için kullandığını belgelemişti.
2023'teki açıklarla benzerlik
Benzerlik kurulan açıklar Qlik tarafından Ağustos ve Eylül 2023'te kapatılmıştı:
| CVE | CVSS | Özet |
|---|---|---|
| CVE-2023-41265 | 9.6 | HTTP tunneling ile yetki yükseltme |
| CVE-2023-41266 | 8.2 | Path traversal; kimliksiz saldırgan anonim oturum üretebiliyor |
| CVE-2023-48365 | 9.6 | Kimliksiz remote code execution; CVE-2023-41265 düzeltmesinin eksik kalmasından doğdu |
Cynet bu açıklardan birinin kullanıldığını söylemiyor; yalnızca davranış benzerliğine dikkat çekiyor. Yeni bir açığın kullanılıp kullanılmadığı da belli değil.
Reverse shell çalışsaydı ne olacaktı?
Cynet, engellenen komutu kontrollü ortamda çalıştırıp devamını inceledi. Rapora göre:
- Etkileşimli kanal keşif yapmak ve kalıcılık sağlayan bir PowerShell betiği indirmek için kullanılıyor.
- Windows için Go ile yazılmış bir reverse shell devreye giriyor; bu araç çalışan Apache ActiveMQ süreçlerini arıyor. Linux'ta sistem bilgisi toplamaya ve
/etc/shadowile/etc/passwddosyalarını okumaya çalışıyor. - Betiğin ikinci bir sürümü OpenSSH kuruyor,
sshdservisini otomatik başlangıca alıyor, TCP 22 için gelen bağlantı kuralı ekliyor ve WinUpdCheck adlı bir zamanlanmış görev oluşturuyor. Görev,C:\ProgramData\ssh\winc.ps1dosyasındaki reverse shell'i beş dakikada bir çalıştırıyor. Kurulan OpenSSH paketi meşru; saldırgan onu yeniden kullanıyor.
Saldırganın sunucusunda (45.115.26[.]23) açık kalmış bir dizinde özel Go backdoor'u, SSH kalıcılık betikleri, Apache ActiveMQ'daki CVE-2023-46604 için bir exploit ve Veeam'deki CVE-2024-40711 için değiştirilmiş bir araç seti bulundu. Cynet bunu, aktörün daha geniş saldırılara zemin hazırlıyor olabileceği şeklinde yorumluyor.
Beni etkiliyor mu?
İnternete açık Qlik Sense Enterprise for Windows sunucusu olan kurumlar aşağıdaki izlere bakabilir. Komutlar yalnızca okuma yapar:
Get-ScheduledTask -TaskName "WinUpdCheck" -ErrorAction SilentlyContinue
Get-Service -Name sshd -ErrorAction SilentlyContinue
Get-ChildItem -Path "C:\ProgramData\ssh" -ErrorAction SilentlyContinue
Get-NetFirewallRule -Direction Inbound -Enabled True | Where-Object { $_.DisplayName -match "ssh" }Bunlara ek olarak EDR ve proxy kayıtlarında scheduler.exe altında başlayan PowerShell süreçleri ile 45.115.26[.]23 adresine 4455, 4456 ve 8012 portlarından giden bağlantılar aranabilir. OpenSSH'ı kendiniz kurduysanız servis ve kural tek başına bulgu sayılmaz; kurulum tarihini kendi kayıtlarınızla karşılaştırın.
Ne yapılmalı?
- Qlik Sense Enterprise for Windows sürümünüzü Qlik'in 2023 bültenlerindeki düzeltilmiş sürümlerle karşılaştırın; geride kalan sunucular için upgrade planlayın.
- Qlik Sense yönetim ve kullanıcı arayüzlerinin internetten doğrudan erişilebilir olup olmadığını gözden geçirin; mümkünse erişimi VPN ya da kimlik doğrulayan bir ön katmanın arkasına alın.
- Aynı ağda Apache ActiveMQ ve Veeam Backup & Replication varsa CVE-2023-46604 ve CVE-2024-40711 patch'lerinin kurulu olduğunu doğrulayın; saldırganın sıradaki hedefi bunlar olabilir.
- Yukarıdaki izlerden biri bulunursa sunucuyu izole edip olay müdahale sürecini başlatın; yalnızca zamanlanmış görevi silmek yeterli değildir.
