Вымогатель Cactus использует уязвимости в Qlik Sense для проникновения в сети
Исследователи предупреждают, что вымогательская группа Cactus использует критические уязвимости в решении для визуализации, исследования и мониторинга данных Qlik Sense, получая с их помощью первоначальный доступ к корпоративным сетям.
В конце августа текущего года разработчики Qlik Sense выпустили патчи для двух критических уязвимостей, затрагивающих Windows-версию платформы.
Одна из уязвимостей, CVE-2023-41266, представляет собой path traversal баг и может использовать для создания анонимных сеансов и выполнения HTTP-запросов к неавторизованным конечным точкам.
Вторая проблема получила идентификатор CVE-2023-41265 и оценивается как критическая (9,8 балла по шкале CVSS). Эта уязвимость не требует аутентификации и может использоваться для повышения привилегий и выполнения HTTP-запросов на бэкэнд-сервере, где размещено приложение.
20 сентября разработчики обнаружили, что исправление для CVE-2023-41265 оказалось неэффективным. В итоге уязвимость получила новый идентификатор CVE-2023-48365, и компания выпустила еще одну партию обновлений.
Как теперь сообщают эксперты из компании Arctic Wolf, уязвимости Qlik Sense до сих пор не исправлены во многих установках, и этим пользуются операторы вымогателя Cactus.
Атакующие используют проблемы Qlik Sense для выполнения кода, который заставляет службу Qlik Sense Scheduler инициировать новые процессы. Затем злоумышленники применяют PowerShell и Background Intelligent Transfer Service (BITS) для загрузки ряда инструментов, которые помогают им закрепиться в системе и предоставляют удаленный доступ к машине:
- исполняемые файлы ManageEngine UEMS, замаскированные под файлы Qlik;
- AnyDesk, взятый прямо с официального сайта;
- бинарник Plink (PuTTY Link), переименованный в putty.exe.
Также отмечается, что злоумышленники используют различные методы для сохранения скрытности и сбора информации из зараженной системы, включая удаление антивируса Sophos, изменение пароля администратора и создание RDP-туннеля с помощью Plink.
Кроме того, атакующие применяют RDP для бокового перемещения, WizTree для анализа дискового пространства и rclone (замаскированный под svchost.exe) для эксфильтрации данных.
И только на заключительном этапе атаки хакеры разворачивают во взломанных системах вымогателя Cactus.
Чтобы снизить риски, специалисты Qlik рекомендуют как можно скорее обновить Sense Enterprise для Windows до следующих версий:
- August 2023 Patch 2;
- May 2023 Patch 6;
- February 2023 Patch 10;
- November 2022 Patch 12;
- August 2022 Patch 14;
- May 2022 Patch 16;
- February 2022 Patch 15;
- November 2021 Patch 17.
Мария Нефёдова, xakep.ru