Хакеры атаковали серверы Qlik Sense и готовили эксплойты для ActiveMQ и Veeam

Злоумышленники пытались запустить на серверах PowerShell-команду с однострочной обратной оболочкой, которая подключалась к адресу 45.115.26.23 на порту 4455. Команда выполнялась под процессом scheduler.exe. Cynet отметила, что это напоминает вторжения в Qlik 2023 года, которые связывали с группой, работавшей на программ-вымогателя CACTUS.

Точная уязвимость, которую использовали для проникновения, пока не установлена.

Что удалось выяснить

Тестирование обратной оболочки в контролируемой среде показало, что через неё шла разведка и загружался PowerShell-скрипт для закрепления в системе. Скрипт подключал Go-бэкдор для Windows к адресу 45.115.26.23 на порту 4456. Бэкдор искал запущенные процессы, связанные с Apache ActiveMQ, а на Linux пытался читать файлы /etc/shadow и /etc/passwd.

Второй вариант скрипта устанавливал OpenSSH, создавал задачу планировщика «WinUpdCheck» и открывал входящий доступ по TCP 22. Архив OpenSSH, по данным Cynet, был легитимным пакетом, который оператор просто повторно использовал.

Контекст

В открытом каталоге на инфраструктуре злоумышленников Cynet нашла Go-бэкдор для Windows, скрипты закрепления через SSH, эксплойт для ActiveMQ по CVE-2023-46604 и модифицированный публичный набор инструментов Veeam для CVE-2024-40711. По мнению исследователей, атакующий, возможно, готовит более широкие атаки.

В кампании 2023 года, которую Arctic Wolf связала с CACTUS, использовались уязвимости Qlik, исправленные в августе и сентябре 2023 года. Одна из них, CVE-2023-48365, оказалась неполным исправлением CVE-2023-41265.