這次攻擊發生了什麼
2023 年底，Cactus 勒索軟體靠 Qlik Sense 的漏洞闖進企業內網，是資安圈很常被拿出來講的案例。三年後，同樣的產品又出現類似的攻擊手法，而且這次連帶挖出攻擊者準備好的其他企業軟體攻擊工具。
資安公司 Cynet 在 2026 年 11 月 11 日更新的研究報告裡指出，他們的 CyOps 與研究團隊在 2026 年 10 月，於數家歐盟客戶的 Qlik Sense 伺服器上，看到同一種可疑的程序行為，整段活動大約只有三分多鐘。
我們來看看這份報告的重點，以及企業需要對照哪些漏洞。
Qlik Sense 是什麼
Qlik Sense 是企業用來做資料分析與報表儀表板的平台，通常架在公司內部或雲端主機上，連著財務、銷售等資料來源。這類伺服器一旦被拿下，攻擊者就站在企業網路內部，也看得到被串接的資料。
攻擊者做了什麼
Cynet 觀察到的行為，整理成表格如下。
| 階段 | Cynet 報告的內容 |
|---|---|
| 觸發點 | scheduler.exe（Qlik Sense 的排程服務）啟動 cmd.exe，再啟動帶有編碼指令的 PowerShell |
| 第一層動作 | 向攻擊者伺服器回報電腦名稱與使用者名稱，並啟動隱藏的 PowerShell 反向 Shell（Reverse Shell，讓受害主機主動連回攻擊者、接收指令） |
| 結果 | Cynet 阻擋了這段腳本，反向 Shell 沒有成功啟動 |
這種程序行為，與 2023 年 Cactus 活動中 Qlik 排程服務產生 cmd.exe 與 PowerShell 的模式相似，Cynet 在報告中引用了 Arctic Wolf 的先前研究作比較。
攻擊者伺服器上還放了什麼
Cynet 追查回去，發現同一個 IP 上開著一個沒有保護的目錄，裡面有下列幾類東西：
- 用 Go 語言寫的 Windows 與 Linux 後門程式
- 在 Windows 上安裝 OpenSSH、建立排程工作等「持久化」用的腳本
- 針對 Apache ActiveMQ 的三份攻擊用 XML
- 一套改自公開資料的 Veeam 漏洞攻擊工具
持久化腳本會裝 OpenSSH，並建立名為 WinUpdCheck 的排程工作，每五分鐘執行一次反向 Shell。完整的檔名、連接埠、雜湊值與 IP 等入侵指標（IoC），請直接查閱 Cynet 原始報告，本文不再逐項抄錄。
報告沒有確認的部分
這部分很容易被標題誤導，所以特別列出來：
- 攻擊者到底用哪個漏洞進入 Qlik Sense，報告沒有確認。Cynet 認為可能是 CVE-2023-41266 搭配 CVE-2023-41265，或是 CVE-2023-48365，但用語是「可能」。
- Cynet 在攻擊者的目錄與自己的追查中，沒有找到針對 Qlik 的攻擊工具。
- ActiveMQ 與 Veeam 只是「攻擊者伺服器上有工具」，報告寫明沒有看到客戶因此被成功入侵的案例。
- 報告也提醒，持久化腳本是在實驗環境觀察到的行為，不能當成每個受害環境都已經中招。
簡單說，這是一份「攻擊者正在準備什麼」的情報，不是大規模入侵事件的通報。
被利用的漏洞
這幾個漏洞都不是新的：Qlik Sense 的三個、ActiveMQ 的一個都是 2023 年的，Veeam 的是 2024 年的。CISA 的已知遭利用漏洞清單（KEV）全部都收錄了，而且在 KEV 資料中的「已知用於勒索軟體活動」欄位都標為 Known。KEV 是什麼，可以參考站內的 CISA KEV 新增 VPN 與防火牆漏洞整理。
| 產品 | CVE | 漏洞類型 | KEV 收錄日 |
|---|---|---|---|
| Qlik Sense Enterprise for Windows | CVE-2023-41265 | HTTP 請求走私（Request Tunneling）、提升權限 | 2023-12-07 |
| Qlik Sense Enterprise for Windows | CVE-2023-41266 | 路徑穿越（Path Traversal），可產生匿名工作階段 | 2023-12-07 |
| Qlik Sense Enterprise for Windows | CVE-2023-48365 | 修補 CVE-2023-41265 不完整，可未驗證遠端執行 | 2025-01-13 |
| Apache ActiveMQ | CVE-2023-46604 | OpenWire 協定反序列化，可遠端執行指令 | 2023-11-02 |
| Veeam Backup & Replication | CVE-2024-40711 | 反序列化，可未驗證遠端執行 | 2024-10-17 |
資料來源：CISA KEV 目錄、NVD 對應的 CVE 頁面。
修補版本怎麼對照
最直接的做法：Qlik Sense、ActiveMQ、Veeam 都更新到廠商目前的最新版本，這樣就不必對版本表。
如果手上的環境暫時不能大升級，再用下面的表格確認自己的版本有沒有跨過修補線。版本號怎麼看：Qlik Sense 是「發布月份 + 年份 + Patch 編號」，例如「May 2023 Patch 4」；ActiveMQ 與 Veeam 是數字版本號。對照原則是自己所在的分支，版本要大於或等於表中的修補版本。
舉例：用 Qlik Sense February 2023 的環境，如果裝的是 Patch 8，雖然已修掉 CVE-2023-41265 與 CVE-2023-41266，卻還沒修 CVE-2023-48365，需要升到 Patch 10。
Qlik Sense Enterprise for Windows
| 發布分支 | 涵蓋三個 CVE 的修補版本 |
|---|---|
| August 2023 | Patch 2 |
| May 2023 | Patch 6 |
| February 2023 | Patch 10 |
| November 2022 | Patch 12 |
| August 2022 | Patch 14 |
| May 2022 | Patch 16 |
| February 2022 | Patch 15 |
| November 2021 | Patch 17 |
Qlik 的官方說明表示，CVE-2023-48365 的修補版本已包含前面兩個漏洞的修補，November 2023 IR 之後的版本不受影響。更舊的分支，以及各 CVE 的完整版本清單，請查閱 Qlik 官方安全修補公告。
Apache ActiveMQ
| 分支 | 修補版本 |
|---|---|
| 5.15.x 及更早 | 5.15.16 |
| 5.16.x | 5.16.7 |
| 5.17.x | 5.17.6 |
| 5.18.x | 5.18.3 |
Apache 的公告建議 broker 與 client 兩邊都要升級。原始公告見 CVE-2023-46604 公告。
Veeam Backup & Replication
| 項目 | 內容 |
|---|---|
| 受影響版本 | 12.1.2.172 與更早的 12 版 |
| 修補版本 | 12.2（build 12.2.0.334）起 |
Veeam 也說明，已不再支援的版本沒有經過測試，但很可能同樣受影響，應視為有漏洞。詳見 Veeam KB4649。
企業該先做什麼
以下是我的整理，建議依序處理。
先盤點哪裡有這三套軟體
很多公司的 Qlik Sense、ActiveMQ、Veeam 是不同部門各自裝的，名單常常不在同一份清冊。先確認：
- 有沒有 Qlik Sense Enterprise for Windows，版本與 Patch 編號是多少。
- 有沒有 ActiveMQ 的 broker（常見在內部系統的訊息佇列裡，使用者未必知道）。
- 備份伺服器是不是 Veeam Backup & Replication，版本有沒有到 12.2。
能更新的先更新，並避免直接暴露在網際網路
這幾個漏洞都已有官方修補，也都已列入 KEV。Qlik Sense 與 ActiveMQ 的管理介面、通訊埠不需要對外時，就不要對外開放，這是我自己的一貫建議。
在 Qlik Sense 伺服器上找異常
依 Cynet 描述的行為，可以重點檢查下列幾類痕跡，不必等到中招才查：
| 檢查項目 | 為什麼查 |
|---|---|
scheduler.exe 底下有沒有出現 cmd.exe、PowerShell 子程序 | 這是本次與 Cactus 共同的程序模式 |
| 有沒有不明的 OpenSSH 服務、對外開放的 TCP 22 | 持久化腳本會安裝 OpenSSH |
排程工作裡有沒有不明名稱，例如 WinUpdCheck | 反向 Shell 的定時啟動方式 |
| 有沒有來路不明的 Go 編譯執行檔 | 攻擊者的後門用 Go 寫成 |
具體的檔名、IP、連接埠與雜湊值，請對照 Cynet 的原始報告後再比對防火牆與端點紀錄。
把備份系統當成重點資產
Veeam 這類備份軟體，被攻擊者盯上的目的通常是破壞還原能力。無論如何，備份主機的更新與存取限制，應該跟正式環境同等處理。
參考資料與延伸閱讀
- Cynet：ZeroQlik Returns: Exploiting N-Days Still Pays Off（第一手研究報告）
- The Hacker News：Hackers Target Qlik Sense Servers With Reverse Shells, Stage ActiveMQ and Veeam Exploits（原新聞）
- Qlik 官方：Critical Security fixes for Qlik Sense Enterprise for Windows
- Apache ActiveMQ：CVE-2023-46604 公告
- Veeam：KB4649
- CISA：已知遭利用漏洞目錄（KEV）
- NVD：CVE-2023-41265、CVE-2023-41266、CVE-2023-48365、CVE-2023-46604、CVE-2024-40711
- 站內延伸：CISA KEV 新增 VPN 與防火牆漏洞整理
發佈留言