Qlik Sense Diserang Reverse Shell PowerShell, Eksploit ActiveMQ dan Veeam Disiapkan

Peretas menyasar server Qlik Sense untuk menjalankan perintah reverse shell PowerShell terhadap sejumlah lingkungan pada Oktober 2026. Upaya itu gagal, tetapi infrastruktur serangan menyimpan eksploit ActiveMQ dan Veeam yang siap dipakai.

Temuan itu diungkap tim CyOps dan Research dari perusahaan keamanan siber Cynet. Serangan menyasar beberapa pelanggan yang berbasis di Uni Eropa dalam rentang waktu hanya sedikit di atas tiga menit.

"Perintah itu dieksekusi di bawah scheduler.exe, menyerupai intrusi Qlik Cactus pada 2023," kata Cynet dalam laporannya, dikutip dari The Hacker News, 11 November 2026.

Meski percobaan membuka reverse shell berhasil diblokir, pengujian Cynet di lingkungan terkontrol menunjukkan kanal komunikasi interaktif itu dipakai untuk melakukan pengintaian dan mengirim skrip PowerShell guna memastikan persistensi.

Kronologi Serangan dalam Jendela Tiga Menit

Cynet mendeteksi aktivitas mencurigakan itu pada Oktober 2026. Serangan tidak berlangsung lama. Semua percobaan terjadi dalam rentang waktu yang sangat sempit, hanya lebih dari tiga menit, terhadap beberapa pelanggan di Uni Eropa.

Perintah yang dijalankan berupa reverse shell PowerShell satu baris yang menghubungkan server korban ke alamat IP 45.115.26[.]23 melalui port 4455. Proses induknya adalah scheduler.exe, komponen yang sama dengan intrusi Qlik pada 2023.

Hingga laporan diterbitkan, Cynet belum bisa memastikan kerentanan mana yang dipakai untuk menembus server Qlik Sense. Yang jelas, pola serangan mengikuti jejak kampanye November 2023 yang didokumentasikan Arctic Wolf.

Dalam kampanye 2023 itu, aktor ancaman yang terkait operasi ransomware CACTUS diduga mempersenjatai celah keamanan Qlik Sense yang baru saja diungkap untuk memperoleh akses awal. Mereka lalu mengunduh muatan tambahan dan memasang ManageEngine UEMS, AnyDesk, serta Plink untuk persistensi dan kendali jarak jauh.

Meski upaya reverse shell di Oktober 2026 gagal, keberadaan alat yang sama menunjukkan operator masih mencoba jalur masuk yang pernah terbukti efektif.

Tiga Kerentanan Qlik Sense yang Jadi Pintu Masuk

Kerentanan yang dimaksud telah ditambal Qlik Sense pada Agustus dan September 2023. Ketiganya berdampak pada Qlik Sense Enterprise for Windows. Berikut rinciannya:

• CVE-2023-41265 (skor CVSS 9.6): kerentanan HTTP tunneling yang dapat memicu eskalasi hak istimewa dan memungkinkan penyerang mengeksekusi permintaan HTTP di server backend yang menjalankan aplikasi repositori.
• CVE-2023-41266 (skor CVSS 8.2): kerentanan path traversal yang memungkinkan penyerang jarak jauh tanpa autentikasi membuat sesi anonim dan mengirim permintaan HTTP ke endpoint yang tidak sah.
• CVE-2023-48365 (skor CVSS 9.6): kerentanan eksekusi kode jarak jauh tanpa autentikasi akibat validasi header HTTP yang tidak semestinya, memungkinkan penyerang menaikkan hak istimewa lewat tunneling permintaan HTTP ke server backend.

Perlu dicatat, CVE-2023-48365 yang dikenal dengan nama DoubleQlik merupakan perbaikan tidak lengkap atas CVE-2023-41265. Artinya, penambalan awal masih menyisakan celah yang bisa dieksploitasi ulang.

Bagi organisasi yang belum memperbarui Qlik Sense sejak 2023, tiga celah ini tetap menjadi risiko terbuka. Skor CVSS di atas 9 menempatkannya dalam kategori kritis.

Isi Infrastruktur Penyerang: Backdoor Go hingga Eksploit ActiveMQ

Analisis lebih lanjut terhadap infrastruktur penyerang mengungkap direktori terbuka di 45.115.26[.]23:8012. Di dalamnya tersimpan berbagai alat yang menunjukkan persiapan serangan lebih luas.

Pertama, backdoor Go khusus Windows. Kedua, skrip persistensi SSH. Ketiga, eksploit ActiveMQ untuk CVE-2023-46604. Keempat, toolchain Veeam publik yang dimodifikasi untuk CVE-2024-40711.

Menurut Cynet, temuan itu mengindikasikan aktor ancaman kemungkinan sedang menyiapkan landasan bagi serangan yang lebih besar. Eksploit ActiveMQ dan Veeam bukan alat sekali pakai, melainkan bagian dari gudang senjata yang bisa dialihkan ke target lain.

Dari sisi mekanisme, reverse shell yang diuji Cynet memakai Windows Go reverse shell yang terhubung ke 45.115.26[.]23:4456. Backdoor itu kemudian dipakai mencari proses Apache ActiveMQ yang sedang berjalan. Pada sistem Linux, malware juga mencoba mengumpulkan informasi sistem serta membaca berkas /etc/shadow dan /etc/passwd.

Varian kedua skrip PowerShell mencoba memasang OpenSSH dan membuat scheduled task bernama WinUpdCheck. Tugas itu menjalankan reverse shell PowerShell yang ditulis ke C:\ProgramData\ssh\winc.ps1 setiap lima menit.

"Jika sshd tetap tidak tersedia, ia mengunduh OpenSSH-Win64.zip dari server staging, mengekstraknya, dan menjalankan install-sshd.ps1," jelas Cynet. "Ia mengatur sshd agar berjalan otomatis, memulai layanan, dan menambahkan aturan firewall masuk untuk TCP 22. Arsip itu adalah paket OpenSSH sah yang dipakai ulang oleh operator."

Dampak dan Reaksi: Sinyal Peringatan bagi Pengguna Qlik Sense

Pada kasus Oktober 2026, eksekusi reverse shell diblokir sehingga tidak ada bukti penyebaran lanjutan di lingkungan korban. Namun, Cynet menegaskan kanal komunikasi yang hendak dibuka memang dirancang untuk pengintaian dan pemasangan persistensi.

Penggunaan paket OpenSSH sah sebagai kamuflase menyulitkan deteksi berbasis tanda tangan. Operator memanfaatkan alat legal yang sudah ada di sistem agar aktivitasnya tidak mencolok.

Pola ini memperlihatkan pergeseran taktik: penyerang tidak selalu membawa malware eksklusif, tetapi memakai ulang komponen sah dan menambahkannya ke rantai serangan. Firewall yang membuka TCP 22 secara otomatis oleh skrip menjadi celah yang harus diwaspadai tim keamanan.

Bagi pengguna Qlik Sense Enterprise for Windows, laporan ini menjadi pengingat bahwa tambalan 2023 wajib dipastikan sudah terpasang. Organisasi juga perlu memantau proses scheduler.exe yang menjalankan perintah PowerShell tidak wajar, serta koneksi keluar ke port 4455 dan 4456.

Untuk konteks kerentanan ActiveMQ, organisasi dapat merujuk basis data MITRE dan pengumuman resmi Apache. Sementara itu, detail CVE-2024-40711 pada Veeam Backup & Replication tersedia di NVD.

Langkah Selanjutnya: Dari Blokir Reverse Shell ke Deteksi Dini

Cynet belum mengungkap identitas aktor di balik serangan Oktober 2026. Keterkaitan dengan CACTUS masih bersifat kemiripan taktik, bukan atribusi resmi. Namun, kesamaan proses induk scheduler.exe dan target Qlik Sense memperkuat dugaan bahwa operator yang sama atau kelompok yang meniru taktiknya masih aktif.

Keberadaan eksploit ActiveMQ CVE-2023-46604 dan Veeam CVE-2024-40711 di server staging menunjukkan rencana perluasan. Keduanya merupakan kerentanan yang sudah dipublikasikan, sehingga organisasi yang belum menambal sistem berisiko menjadi target berikutnya.

Tim keamanan disarankan memeriksa log eksekusi PowerShell, khususnya yang dijalankan scheduler.exe, serta memantau pembuatan scheduled task bernama WinUpdCheck. Pemeriksaan berkas di C:\ProgramData\ssh\ juga perlu dilakukan untuk mendeteksi winc.ps1.

Pada akhirnya, insiden ini menunjukkan bahwa kegagalan satu percobaan tidak berarti ancaman berhenti. Infrastruktur yang ditemukan Cynet masih berdiri, lengkap dengan backdoor dan eksploit yang menunggu giliran dipakai.

Analisis Redaksi

Yang membuat kasus ini layak diperhatikan bukan kegagalan reverse shell-nya, melainkan apa yang tertinggal di server staging. Cynet menemukan backdoor Go, skrip persistensi SSH, eksploit ActiveMQ, dan toolchain Veeam yang dimodifikasi dalam satu direktori terbuka. Itu bukan alat untuk satu target. Itu persediaan untuk kampanye.

Penggunaan paket OpenSSH sah sebagai kamuflase juga memberi pelajaran soal deteksi. Selama ini banyak tim keamanan berfokus pada berkas asing dan tanda tangan malware. Operator di kasus ini justru memakai ulang komponen legal, membuka port 22, dan membuat scheduled task dengan nama yang terdengar rutin. Deteksi berbasis anomali perilaku menjadi lebih relevan daripada sekadar daftar hitam.

Kemiripan dengan kampanye CACTUS 2023 tidak boleh langsung dibaca sebagai atribusi. Tapi pola pengulangan target, proses induk, dan alat yang sama menunjukkan satu hal: celah Qlik Sense yang ditambal pada 2023 masih menjadi pintu yang dicoba dibuka. Selama sistem belum diperbarui, percobaan berikutnya hanya soal waktu.