Des attaquants visent des serveurs Qlik Sense et préparent des exploits pour ActiveMQ et Veeam

Des failles vieilles de trois ans dans Qlik Sense, une plateforme d’analyse de données que beaucoup d’entreprises font fonctionner sur leurs propres serveurs Windows, sont de nouveau visées. L’entreprise de sécurité Cynet a indiqué le 11 novembre 2026 (en anglais) qu’en octobre, elle a vu les mêmes commandes suspectes sur des serveurs Qlik Sense chez plusieurs clients de l’Union européenne, toutes en environ trois minutes. Ses produits ont bloqué les tentatives, mais le serveur de l’attaquant montrait ce qu’il préparait ensuite : des outils pour s’introduire dans des courtiers de messages ActiveMQ et des serveurs de sauvegarde Veeam. The Hacker News (en anglais) en a parlé le même jour. Voici ce qui a été trouvé et quoi vérifier.

Ce qui s’est passé

Sur chaque serveur, le Scheduler.exe de Qlik Sense a lancé cmd.exe, qui a lancé une commande PowerShell cachée et encodée. Cette chaîne correspond à ce qu’Arctic Wolf avait vu en novembre 2023, quand le groupe rançongiciel Cactus exploitait des failles de Qlik Sense pour entrer dans des réseaux. Cynet dit que l’attaquant a probablement utilisé les mêmes bogues : CVE-2023-41266 et CVE-2023-41265, ou CVE-2023-48365 (« DoubleQlik »), qui contournait le premier correctif de Qlik. Les trois ont été corrigées en 2023. Cynet n’a pas confirmé laquelle a servi.

La commande PowerShell transmettait le nom de l’ordinateur et de l’utilisateur à l’attaquant, puis tentait d’ouvrir un shell inversé, une connexion qui donne à l’attaquant une ligne de commande sur le serveur. Cynet l’a bloquée avant que le shell démarre. Elle n’a pas lié cette activité à Cactus ni à un groupe nommé, seulement à la même technique.

Ce que révélait le serveur de l’attaquant

L’adresse appelée par le shell inversé hébergeait aussi un dossier ouvert. Cynet y a trouvé :

• Une porte dérobée sur mesure écrite en Go, compilée pour Windows et pour plusieurs plateformes Linux et appareils embarqués, qui reçoit des commandes du serveur de l’attaquant.
• Des scripts de persistance qui ajoutent la clé SSH de l’attaquant dans Windows, installent et démarrent OpenSSH, ouvrent le port 22 dans le pare-feu et créent une tâche planifiée nommée WinUpdCheck qui relance le shell inversé toutes les cinq minutes.
• Du matériel d’exploitation pour Apache ActiveMQ (CVE-2023-46604) et une trousse d’exploitation publique modifiée pour Veeam Backup & Replication (CVE-2024-40711).

Cynet dit que les outils pour ActiveMQ et Veeam ne semblaient pas encore prêts et paraissaient en cours de test. Elle n’a vu aucun client exploité avec succès par l’un ou l’autre. Quand Cynet a fait fonctionner le shell inversé en laboratoire, le serveur de l’attaquant a envoyé des commandes qui cherchaient ActiveMQ et des données de messagerie SmarterMail, et qui tentaient sous Linux de lire /etc/shadow et /etc/passwd.

Pourquoi c’est important

Les serveurs de sauvegarde Veeam sont une cible de choix pour les rançongiciels, parce qu’effacer ou chiffrer les sauvegardes rend une entreprise plus encline à payer. Un attaquant qui rassemble de vieux exploits bien connus pour des logiciels d’analyse, de messagerie et de sauvegarde parie que certaines organisations ne les ont toujours pas corrigés.

Ce que vous pouvez faire

Si votre organisation utilise Qlik Sense Enterprise pour Windows, ActiveMQ ou Veeam :

1. Appliquez les correctifs. Les correctifs de Qlik Sense pour ces failles existent depuis 2023, ceux d’ActiveMQ depuis 2023 et celui de Veeam depuis 2024. Si vous ne pouvez pas corriger Qlik Sense tout de suite, ne l’exposez pas à Internet.
2. Vérifiez les serveurs Qlik Sense : Scheduler.exe qui lance cmd.exe ou PowerShell, une tâche planifiée nommée WinUpdCheck, un fichier C:\ProgramData\ssh\winc.ps1, des clés inattendues dans administrators_authorized_keys, un service nommé wsvc (« Windows Service Controller ») et un serveur OpenSSH que vous n’avez pas installé.
3. Cherchez des connexions vers 45.115.26.23 sur les ports 80, 4455, 4456 et 8012, l’adresse publiée par Cynet.
4. Gardez les sauvegardes hors de portée : comptes d’administration distincts pour Veeam, copies hors ligne ou immuables, et aucun serveur de sauvegarde joignable depuis Internet.

Comment Frame peut aider

Il s’agit d’attaques contre des serveurs d’entreprise, pas d’une liste d’adresses courriel personnelles, donc il n’y a pas d’enregistrement de fuite à ajouter dans Frame. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame ne surveille pas les serveurs.

À lire aussi

• Microsoft : des attaquants gardent une porte dérobée sur des serveurs Web Linux piratés avec GSocket : un autre rapport cette semaine sur la façon dont les attaquants gardent l’accès après la première intrusion.
• Un chercheur publie 33 failles de N-central avec exploits fonctionnels, et N-able met le service hors ligne : pourquoi les logiciels de gestion très répandus attirent les attaquants.

Sources

• Cynet, ZeroQlik Returns: Exploiting N-Days Still Pays Off (en anglais), 11 novembre 2026
• The Hacker News, Hackers Target Qlik Sense Servers With Reverse Shells, Stage ActiveMQ and Veeam Exploits (en anglais), 11 novembre 2026