✔Вымогатель Cactus использует уязвимости в Qlik Sense для проникновения в сети - «Новости»

Исследователи предупреждают, что вымогательская группа Cactus использует критические уязвимости в решении для визуализации, исследования и мониторинга данных Qlik Sense, получая с их помощью первоначальный доступ к корпоративным сетям. В конце августа текущего года разработчики Qlik Sense выпустили патчи для двух критических уязвимостей, затрагивающих Windows-версию платформы. Одна из уязвимостей, CVE-2023-41266, представляет собой path traversal баг и может использовать для создания анонимных сеансов и выполнения HTTP-запросов к неавторизованным конечным точкам. Вторая проблема получила идентификатор CVE-2023-41265 и оценивается как критическая (9,8 балла по шкале CVSS). Эта уязвимость не требует аутентификации и может использоваться для повышения привилегий и выполнения HTTP-запросов на бэкэнд-сервере, где размещено приложение. 20 сентября разработчики обнаружили, что исправление для CVE-2023-41265 оказалось неэффективным. В итоге уязвимость получила новый идентификатор CVE-2023-48365, и компания выпустила еще одну партию обновлений. Как теперь сообщают эксперты из компании Arctic Wolf, уязвимости Qlik Sense до сих пор не исправлены во многих установках, и этим пользуются операторы вымогателя Cactus. Атакующие используют проблемы Qlik Sense для выполнения кода, который заставляет службу Qlik Sense Scheduler инициировать новые процессы. Затем злоумышленники применяют PowerShell и Background Intelligent Transfer Service (BITS) для загрузки ряда инструментов, которые помогают им закрепиться в системе и предоставляют удаленный доступ к машине: исполняемые файлы ManageEngine UEMS, замаскированные под файлы Qlik; AnyDesk, взятый прямо с официального сайта; бинарник Plink (PuTTY Link), переименованный в putty.exe. Также отмечается, что злоумышленники используют различные методы для сохранения скрытности и сбора информации из зараженной системы, включая удаление антивируса Sophos, изменение пароля администратора и создание RDP-туннеля с помощью Plink. Кроме того, атакующие применяют RDP для бокового перемещения, WizTree для анализа дискового пространства и rclone (замаскированный под svchost.exe) для эксфильтрации данных. И только на заключительном этапе атаки хакеры разворачивают во взломанных системах вымогателя Cactus. Чтобы снизить риски, специалисты Qlik рекомендуют как можно скорее обновить Sense Enterprise для Windows до следующих версий: August 2023 Patch 2; May 2023 Patch 6; February 2023 Patch 10; November 2022 Patch 12; August 2022 Patch 14; May 2022 Patch 16; February 2022 Patch 15; November 2021 Patch 17.