Newshot 
2026 年 10 月，观察到威胁行为者针对 Qlik Sense 服务器发起攻击，试图向多个环境投递 PowerShell 反向 shell 命令，但未成功。
Cynet 的 CyOps 与研究团队表示，他们在 2026 年 10 月发现针对多家位于欧盟的客户的可疑活动，这些活动发生在仅三分多钟的狭窄时间窗口内。
该活动被发现与 Arctic Wolf 记录的 2023 年 11 月的一次行动存在一定程度的关联。在那次行动中，与 CACTUS 勒索软件行动有关的威胁行为者很可能利用了当时新披露的 Qlik Sense 漏洞，以获取对目标环境的初始访问权限。
所涉及的漏洞已于 2023 年 8 月和 9 月由 Qlik Sense 修复，影响 Qlik Sense Enterprise for Windows——
- CVE-2023-41265（CVSS 评分：9.6）——一个 HTTP 隧道漏洞，可能导致权限提升，并允许攻击者在托管存储库应用程序的后端服务器上执行 HTTP 请求。
- CVE-2023-41266（CVSS 评分：8.2）——一个路径遍历漏洞，可能允许未经身份验证的远程攻击者生成匿名会话，并向未授权的端点执行 HTTP 请求。
- CVE-2023-48365（CVSS 评分：9.6）——一个未经身份验证的远程代码执行漏洞，源于对 HTTP 头的不当验证，允许攻击者通过隧道 HTTP 请求提升权限，并在后端服务器上执行 HTTP 请求。
值得注意的是，CVE-2023-48365（又名 DoubleQlik）是对 CVE-2023-41265 的不完整修复。
在 2023 年 11 月的 CACTUS 勒索软件行动中，观察到威胁行为者利用这些漏洞建立立足点，并下载额外载荷，通过部署 ManageEngine Unified Endpoint Management and Security（UEMS）、AnyDesk 和 Plink 来建立持久化和远程控制。
Cynet 检测到的最新活动涉及使用一条 PowerShell 命令，其中包含一个单行反向 shell，连接到 "45.115.26[.]23" 的 4455 端口。目前尚不清楚入侵 Qlik Sense 服务器所利用的具体漏洞。
"该命令是在 scheduler.exe 下执行的，与 2023 年 Cactus Qlik 入侵事件相似，"这家网络安全公司表示。
尽管生成反向 shell 的尝试被阻止，但 Cynet 在受控环境中对该反向 shell 的测试显示，该交互式通信通道被用于进行侦察，并投递一个用于实现持久化的 PowerShell 脚本。
这是通过一个连接到 "45.115.26[.]23:4456" 的 Windows Go 反向 shell 实现的。随后，该后门被用于查找与 Apache ActiveMQ 相关的正在运行的进程。在 Linux 上，该恶意软件还会尝试收集系统信息，并读取 "/etc/shadow" 和 "/etc/passwd" 文件。
该 PowerShell 脚本的第二个变体尝试安装 OpenSSH，并创建一个名为 "WinUpdCheck" 的计划任务，该任务每隔五分钟启动一个写入 "C:\ProgramData\ssh\winc.ps1" 的 PowerShell 反向 shell。
"如果 sshd 仍不可用，它会从暂存服务器下载 OpenSSH-Win64.zip，解压后运行 install-sshd.ps1，"Cynet 表示。"它将 sshd 设置为自动启动，启动该服务，并为 TCP 22 添加了一条入站防火墙规则。该压缩包是操作者复用的合法 OpenSSH 软件包。"
对基础设施的进一步分析发现了一个暴露的目录（“45.115.26[.]23:8012”），其中包含一个针对 Windows 的自定义 Go 后门、SSH 持久化脚本、针对 CVE-2023-46604 的 ActiveMQ 漏洞利用程序，以及针对 CVE-2024-40711 的修改版公开 Veeam 工具链，这表明该威胁行为者可能正在为更大范围的攻击奠定基础。