در ماه اکتبر ۲۰۲۶، فعالیت عوامل تهدید (Threat Actors) در هدف قرار دادن سرورهای Qlik Sense مشاهده شده است. این حملات که شامل تلاش‌هایی برای اجرای دستورات PowerShell Reverse Shell در محیط‌های مختلف بوده، شباهت‌های ساختاری به کمپین باج‌افزار (Ransomware) CACTUS در نوامبر ۲۰۲۳ دارد.
بررسی‌ها نشان می‌دهد که این فعالیت‌ها با استفاده از یک دستور تک‌خطی PowerShell برای ایجاد یک کانال ارتباطی معکوس (Reverse Shell) به آی‌پی 45.115.26[.]23 روی پورت 4455 انجام می‌شود. اگرچه برخی از این تلاش‌ها مسدود شده‌اند، اما تحلیل‌ها در محیط‌های کنترل‌شده نشان می‌دهد که این کانال ارتباطی برای انجام شناسایی (Reconnaissance) و اجرای اسکریپت‌های پایداری (Persistence) به کار می‌رود.
تکنیک‌های پایداری و گسترش نفوذ
عاملان تهدید از چندین روش برای حفظ دسترسی خود استفاده می‌کنند:
- استفاده از Windows Go Reverse Shell: ایجاد یک بک‌دور (Backdoor) برای شناسایی فرآیندهای مرتبط با Apache ActiveMQ. در سیستم‌های لینوکس، این بدافزار تلاش می‌کند اطلاعات سیستم و فایل‌های
/etc/shadowو/etc/passwdرا نیز استخراج کند. - نصب OpenSSH: تلاش برای نصب OpenSSH و ایجاد یک Task زمان‌بندی شده (Scheduled Task) با نام
WinUpdCheckکه در فواصل ۵ دقیقه‌ای اسکریپت‌های مخرب را اجرا می‌کند. - تغییر در تنظیمات شبکه: اضافه کردن قوانین جدید در فایروال (Firewall) برای اجازه دسترسی به پورت TCP 22 جهت تسهیل دسترسی‌های آتی.
آماده‌سازی برای حملات گسترده‌تر
بررسی زیرساخت‌های مهاجمان نشان‌دهنده وجود یک دایرکتوری اکسپوز شده است که حاوی ابزارهای زیر می‌باشد:
- یک بک‌دور سفارشی نوشته شده با زبان Go برای ویندوز.
- اسکریپت‌های پایداری مبتنی بر SSH.
- اکسپلویت ActiveMQ مربوط به آسیب‌پذیری CVE-2023-46604.
- مجموعه ابزارهای تغییریافته Veeam برای بهره‌برداری از آسیب‌پذیری CVE-2024-40711.
این یافته‌ها نشان می‌دهد که مهاجمان در حال آماده‌سازی زیرساخت‌های لازم برای انجام حملات گسترده‌تر و هدفمند در محیط‌های سازمانی هستند.
