Tin tặc tấn công máy chủ Qlik Sense bằng Reverse Shell, chuẩn bị sẵn exploit cho ActiveMQ và Veeam

Các nhóm tội phạm mạng đang gia tăng hoạt động nhắm vào các máy chủ Qlik Sense. Trong tháng 10/2026, các chuyên gia từ Cynet đã ghi nhận những nỗ lực đáng ngờ nhằm thực thi các lệnh PowerShell reverse shell trên nhiều môi trường khác nhau, với tốc độ tấn công diễn ra rất nhanh chóng.

Hoạt động này cho thấy nhiều điểm tương đồng với chiến dịch tấn công ransomware CACTUS từng được ghi nhận vào tháng 11/2023. Khi đó, tin tặc đã tận dụng các lỗ hổng bảo mật trong Qlik Sense để chiếm quyền truy cập ban đầu vào hệ thống mục tiêu. Dù các lỗ hổng này (bao gồm CVE-2023-41265, CVE-2023-41266 và CVE-2023-48365) đã được Qlik vá từ cuối năm 2023, nhưng chúng vẫn là mục tiêu hấp dẫn nếu các doanh nghiệp chưa cập nhật bản patch kịp thời.

Trong đợt tấn công mới nhất, tin tặc sử dụng một lệnh PowerShell chứa reverse shell kết nối tới địa chỉ IP độc hại trên cổng 4455. Mặc dù các nỗ lực tạo kết nối này đã bị chặn, nhưng phân tích từ Cynet cho thấy kẻ tấn công có ý đồ thực hiện trinh sát (reconnaissance) và cài đặt mã độc để duy trì sự hiện diện (persistence) trong hệ thống.

Đáng chú ý, kẻ tấn công đã chuẩn bị sẵn một kho công cụ tại một thư mục công khai, bao gồm:

• Backdoor tùy chỉnh viết bằng ngôn ngữ Go dành cho Windows.
• Các script duy trì quyền truy cập qua SSH.
• Exploit cho lỗ hổng CVE-2023-46604 trên Apache ActiveMQ.
• Công cụ đã qua chỉnh sửa để khai thác lỗ hổng CVE-2024-40711 trên Veeam.

Việc chuẩn bị sẵn các exploit cho những nền tảng phổ biến như ActiveMQ và Veeam cho thấy tin tặc đang xây dựng hạ tầng để thực hiện các cuộc tấn công quy mô lớn hơn. Các chuyên gia khuyến cáo quản trị viên hệ thống cần rà soát lại các máy chủ Qlik Sense, đảm bảo mọi bản vá bảo mật đã được áp dụng và giám sát chặt chẽ các tiến trình bất thường như scheduler.exe hoặc các tác vụ định kỳ (scheduled task) lạ như WinUpdCheck.

Nguồn tham khảo: The Hacker News