Laut Cynet ähnelt die Aktivität in Teilen einer Kampagne vom November 2023, die Arctic Wolf dokumentiert hat. Damals nutzten Akteure, die mit der Ransomware-Gruppe CACTUS in Verbindung gebracht werden, mutmaßlich frisch veröffentlichte Lücken in Qlik Sense Enterprise for Windows für den Erstzugriff. Qlik hatte diese Schwachstellen im August und September 2023 geschlossen:

  • CVE-2023-41265 (CVSS 9,6): HTTP-Tunneling-Lücke, die eine Rechteausweitung ermöglicht. Angreifer können damit HTTP-Anfragen auf dem Backend-Server ausführen, der die Repository-Anwendung hostet.
  • CVE-2023-41266 (CVSS 8,2): Path-Traversal-Lücke, über die ein nicht authentifizierter Angreifer aus der Ferne eine anonyme Sitzung erzeugen und HTTP-Anfragen an nicht autorisierte Endpunkte senden kann.
  • CVE-2023-48365 (CVSS 9,6, auch „DoubleQlik“ genannt): Remote-Code-Ausführung ohne Authentifizierung, weil HTTP-Header unzureichend geprüft werden. Sie geht auf einen unvollständigen Fix für CVE-2023-41265 zurück.

In der Kampagne von 2023 verschafften sich die Angreifer über diese Lücken einen Brückenkopf. Anschließend luden sie weitere Komponenten nach und richteten mit ManageEngine Unified Endpoint Management and Security (UEMS), AnyDesk und Plink dauerhaften Fernzugriff ein.

Bei den aktuellen Angriffen setzten die Täter einen PowerShell-Befehl mit einer einzeiligen Reverse Shell ein, die sich mit 45.115.26[.]23 auf Port 4455 verbindet. Über welche Schwachstelle sie in die Qlik-Sense-Server gelangten, ist bislang unklar. „Der Befehl wurde unter scheduler.exe ausgeführt, ähnlich wie bei den Qlik-Einbrüchen von Cactus im Jahr 2023“, erklärte Cynet.

Cynet testete die Reverse Shell in einer kontrollierten Umgebung. Dabei zeigte sich, dass der interaktive Kanal der Aufklärung dient und ein PowerShell-Skript nachlädt, das die Persistenz sichert. Dafür sorgt eine in Go geschriebene Reverse Shell für Windows, die sich mit 45.115.26[.]23:4456 verbindet. Diese Hintertür sucht nach laufenden Prozessen, die zu Apache ActiveMQ gehören. Unter Linux sammelt die Schadsoftware zusätzlich Systeminformationen und versucht, die Dateien /etc/shadow und /etc/passwd auszulesen.

Eine zweite Variante des PowerShell-Skripts versucht, OpenSSH zu installieren. Außerdem legt sie eine geplante Aufgabe namens „WinUpdCheck“ an, die alle fünf Minuten eine unter C:\ProgramData\ssh\winc.ps1 abgelegte PowerShell-Reverse-Shell startet. Cynet beschreibt den Ablauf so: „Blieb sshd nicht verfügbar, lud das Skript OpenSSH-Win64.zip vom Staging-Server herunter, entpackte das Archiv und führte install-sshd.ps1 aus. Es stellte sshd auf automatischen Start, startete den Dienst und legte eine eingehende Firewall-Regel für TCP-Port 22 an. Bei dem Archiv handelte es sich um ein legitimes OpenSSH-Paket, das der Angreifer wiederverwendete.“

Bei der weiteren Untersuchung der Infrastruktur stieß Cynet auf ein offen zugängliches Verzeichnis unter 45.115.26[.]23:8012. Es enthielt:

  • eine eigens entwickelte Go-Hintertür für Windows
  • Skripte für die Persistenz über SSH
  • einen Exploit für die ActiveMQ-Lücke CVE-2023-46604
  • eine angepasste Version eines öffentlich verfügbaren Werkzeugsatzes für die Veeam-Lücke CVE-2024-40711