Qlik Sense nel mirino: reverse shell PowerShell e persistenza via OpenSSH in Europa

Nel corso di ottobre 2026 è stata osservata una campagna di attacchi informatici mirata a server Qlik Sense, con tentativi di eseguire comandi PowerShell per ottenere una reverse shell. Le attività sospette sono state rilevate in un intervallo molto ristretto di tempo e hanno coinvolto più ambienti, in particolare organizzazioni con sede in Europa.

Anche se i tentativi iniziali sono stati bloccati, i dettagli tecnici indicano una chiara intenzione di ottenere accesso remoto interattivo e predisporre persistenza sui sistemi compromessi.

Il contesto richiama una precedente ondata di intrusioni legata allo sfruttamento di vulnerabilità note di Qlik Sense Enterprise per Windows, corrette tra agosto e settembre 2023. Tra le falle più critiche figurano CVE-2023-41265 e CVE-2023-48365, associate a meccanismi di HTTP tunneling che possono favorire escalation di privilegi e richieste verso componenti backend, e CVE-2023-41266, una path traversal che può consentire a un attaccante non autenticato di creare sessioni anonime e raggiungere endpoint non autorizzati. Un aspetto rilevante è che CVE-2023-48365 è stata descritta come correzione incompleta di CVE-2023-41265, aumentando il rischio di implementazioni non pienamente protette.

Nella sequenza osservata, il comando PowerShell includeva una reverse shell in una sola riga con connessione verso un indirizzo IP remoto su una porta dedicata. L’esecuzione risultava avviata tramite un processo riconducibile allo scheduler, un dettaglio che suggerisce tattiche compatibili con intrusioni precedenti su Qlik Sense. Test in ambienti controllati mostrano che il canale interattivo può essere usato per ricognizione e per scaricare ulteriori script PowerShell orientati alla persistenza.

Una variante successiva tenta di installare OpenSSH su Windows e crea una attività pianificata denominata WinUpdCheck, configurata per lanciare periodicamente una reverse shell salvata in un percorso di sistema. Se il servizio SSH non risulta disponibile, viene scaricato un pacchetto legittimo di OpenSSH, estratto e installato, con attivazione automatica e regola firewall in ingresso sulla porta 22. Questo approccio combina strumenti leciti e automazione, rendendo più difficile distinguere tra amministrazione e attacco.

L’analisi dell’infrastruttura associata ha inoltre evidenziato risorse di staging con strumenti aggiuntivi, tra cui un backdoor in Go per Windows, script di persistenza via SSH e componenti per sfruttare vulnerabilità di Apache ActiveMQ e Veeam. La presenza di exploit per CVE-2023-46604 e di una toolchain modificata per CVE-2024-40711 suggerisce una preparazione a campagne più ampie, in cui Qlik Sense potrebbe rappresentare solo uno dei punti di ingresso iniziali.