Beveiligingsonderzoekers zagen in oktober 2026 een korte maar opvallende reeks pogingen om reverse shells tegen Qlik Sense-servers af te leveren. Volgens CyOps van CyNet werd het verdachte gedrag waargenomen binnen een tijdsvenster van net iets meer dan drie minuten bij meerdere klanten in de Europese Unie.
Hoewel de reverse shell-pogingen uiteindelijk werden geblokkeerd, laten de gebruikte technieken en voorbereide componenten zien dat aanvallers wel degelijk richting remote toegang en volharding wilden werken. Hieronder lees je wat er is waargenomen, welke kwetsbaarheden eerder een rol speelden, en welke concrete controles verstandig zijn.
Wat er in oktober 2026 werd gezien
De aanvallers probeerden toegang te krijgen door op Qlik Sense-servers PowerShell-opdrachten uit te voeren, met daarin een one-line reverse shell. Die zou verbinding maken met een opgegeven IP-adres op een specifieke poort. In de praktijk werd het opzetten van de interactieve verbinding geblokkeerd, maar uit testen in een gecontroleerde omgeving bleek dat dezelfde communicatielijn gebruikt kan worden voor twee doelen: verkenning en het aanleveren van verdere PowerShell-stappen.
Een extra aanwijzing uit het onderzoek is dat de PowerShell-uitvoering leek te draaien onder scheduler.exe. Daarmee sluiten de observaties qua uitvoeringspatroon aan bij eerdere intrusies rond dezelfde productomgeving, waarbij scheduling werd gebruikt om processen of scripts tijdgebonden te starten.
Reverse shell als opstap naar reconnaissance en persistence
De onderzoekers beschrijven dat de backdoor na het opzetten van de verbinding terugkoppelt door vervolgens te zoeken naar processen die passen bij Apache ActiveMQ. Op Linux werden bovendien systeemdetails verzameld en probeerde de malware gevoelige bestandsbronnen te lezen, waaronder bestanden die typisch worden gebruikt om gebruikers- en authenticatiegegevens te herleiden.
Naast verkenning richtte een variant van de PowerShell-aanpak zich op persistence. Daarbij werd volgens CyNet een OpenSSH-installatie voorbereid en werd een geplande taak aangemaakt met de naam WinUpdCheck. Die taak startte elke vijf minuten een PowerShell reverse shell die naar een scriptpad op Windows verwees.
Als OpenSSH niet direct beschikbaar bleek, werd vanaf een stagingserver een archief gedownload, uitgepakt en werd een installatiescript uitgevoerd. Het gebruikte archief betrof volgens het onderzoek een legitiem OpenSSH-pakket dat door de aanvaller opnieuw werd ingezet.
Voorbereiding voor bredere aanvallen: ActiveMQ en Veeam
De analyse van de infrastructuur wijst op meer dan alleen een tijdelijke reverse shell. Er werd namelijk een publiek toegankelijke directory gevonden met meerdere componenten: een aangepaste Go-backdoor voor Windows, SSH-persistence-scripts en ook exploit-achtige onderdelen die waren gekoppeld aan bekende CVE’s rond ActiveMQ en Veeam.
- ActiveMQ-exploit: gelinkt aan CVE-2023-46604.
- Veeam-toolchain: er werd een gemodificeerde variant gevonden gekoppeld aan CVE-2024-40711.
Deze combinatie suggereert dat de actor mogelijk al “bouwstenen” klaarzette om later grootschaliger of met andere doelen opnieuw te kunnen toeslaan. Met andere woorden: ook al mislukte de reverse shell in deze ronde, de campagne lijkt wel degelijk voorbereid.
Link met eerder Qlik Sense misbruik (2023)
Het onderzoek legt ook een verband met een eerdere campagne uit november 2023 die door Arctic Wolf werd beschreven rond de CACTUS ransomware-operatie. Daarbij zouden aanvallers in toenmalige aanvallen nieuw ontdekte of recent openbaar gemaakte Qlik Sense-kwetsbaarheden hebben gebruikt om aanvankelijk toegang te verkrijgen.
Qlik Sense zou deze kwetsbaarheden in augustus en september 2023 hebben gepatcht. In het huidige onderzoek komen drie CVE’s terug:
- CVE-2023-41265 (CVSS 9.6): een HTTP tunneling-kwetsbaarheid die privilege escalation kan mogelijk maken door HTTP-verzoeken uit te voeren via de backend van het serveronderdeel dat repositories host.
- CVE-2023-41266 (CVSS 8.2): een path traversal-kwetsbaarheid waarmee een aanvaller zonder authenticatie een anonieme sessie kan genereren en HTTP-verzoeken kan doen naar niet-toegestane endpoints.
- CVE-2023-48365 (CVSS 9.6) (ook bekend als DoubleQlik): een unauthenticated remote code execution-kwetsbaarheid die ontstaat door onjuiste validatie van HTTP-headers. Door HTTP-verzoeken te tunnel-en kan een aanvaller een hoger privilege krijgen en opdrachten op de backend uitvoeren.
Een belangrijk detail is dat CVE-2023-48365 een incomplete fix zou zijn voor CVE-2023-41265. Dat maakt het extra belangrijk om niet alleen te kijken naar “is er een patch”, maar ook naar de juiste opvolging en versies van de Qlik Sense-releases.
Waarom deze observatie extra aandacht verdient
Deze melding combineert meerdere risicostukken in één aanvalscyclus: een poging tot reverse shell, voorbereidende scripts voor persistence, en sporen van exploitcomponenten richting andere omgevingen. Bovendien werd het patroon gekoppeld aan scheduling via scheduler.exe, wat kan passen bij een aanpak die snel en kortdurend wil toeslaan zonder langdurige zichtbaarheid.
Dat de reverse shell in oktober 2026 werd geblokkeerd, verlaagt het directe impactniveau van die specifieke poging. Tegelijkertijd toont het onderzoek aan dat de actor wél een werkend doel heeft voor communicatie, verkenning en het laden van verdere logica.
Wat je nu kunt checken (praktisch)
Als je Qlik Sense in productie hebt, is het verstandig om deze punten direct langs te lopen. Focus op detectie, patchstatus en harde controle op uitgaande verbindingen.
- Controleer patchniveaus voor Qlik Sense en verifieer of de releaselijn die je gebruikt ook de risico’s rond de genoemde CVE’s afdekt, inclusief opvolgende fixes.
- Let op planning en ongebruikelijke taakuitvoering: kijk naar wijzigingen rond scheduler-gebaseerde execution, en naar nieuwe of afwijkende scheduled tasks.
- Monitor uitgaand netwerkverkeer vanaf Qlik Sense/Windows-hosts naar ongebruikelijke IP’s en poorten, zeker wanneer PowerShell betrokken is.
- Controleer ActiveMQ op mogelijke compromittering en het bestaan van verdachte processen gerelateerd aan reconnaissance.
- Beoordeel exploit-risico’s in het grotere ecosysteem: als je ook Veeam of bijbehorende tooling gebruikt, check dan of jouw patchstatus en configuraties aansluiten op bekende CVE’s.
Wil je bredere context over hoe organisaties kwetsbaarheden vaak pas laat afhandelen? Dan kan het helpen om ook naar recente patch- en dreigingsupdates te kijken, bijvoorbeeld in combinatie met andere succesvolle aanvalspatronen. Zie bijvoorbeeld Citrix en Ivanti patchen kritieke lekken: dit moet je doen voor een bruikbaar denkraam rond patchprioriteit en snelle mitigatie.
Beveiliging draait om snelheid én opvolging
De kern van deze observatie is niet alleen dat aanvallers reverse shells probeerden. Het echte signaal zit in de keten: misbruikpogingen, het voorbereiden van persistence, en het klaarzetten van exploitmodules richting aanvullende doelen. Dat maakt deze gebeurtenis een beveiligingswaarschuwing die om snelle actie vraagt.
Door de patchstatus voor Qlik Sense kritisch te verifiëren, uitgaand verkeer en scheduled execution streng te monitoren en het bredere systeemlandschap (zoals ActiveMQ en back-up tooling) mee te nemen, verklein je de kans dat een mislukte poging later alsnog kan uitgroeien tot een volledige compromittering.
Conclusie: reverse shells tegen Qlik Sense werden in oktober 2026 geprobeerd, maar geblokkeerd. Toch duiden de technieken—van PowerShell met scheduling tot verkenning, persistence en exploitcomponenten—op een serieuze voorbereiding. Pak daarom vandaag nog patchcontrole, detectie en netwerkbeperkingen aan.
Bron: https://thehackernews.com/2026/11/hackers-target-qlik-sense-servers-with.html
