数千台 Qlik Sense 服务器受 Cactus 勒索软件攻击
内容提要
安全研究人员发现Cactus勒索软件团伙利用Qlik Sense平台的三个漏洞进行攻击。Fox-IT发现3143台Qlik Sense服务器仍受到Cactus组织漏洞的攻击。至少有122个Qlik Sense实例可能受到攻击。ShadowServer基金会正在协助这些组织。
延伸解读
漏洞修复的反复性
Qlik在8月披露了CVE-2023-41266和CVE-2023-41265，这两个漏洞可被连锁利用以执行任意代码。9月又披露了CVE-2023-48365，该漏洞绕过了8月的修复。这种修复被绕过的情况意味着，即使组织及时安装了8月的补丁，仍可能因后续漏洞而暴露。因此，持续关注厂商的安全更新并尽快应用至关重要。
暴露面与地域分布
Fox-IT扫描发现5205台可互联网访问的Qlik Sense服务器中，3143台仍易受攻击。其中美国有396台，意大利280台，巴西244台，荷兰和德国分别为241台和175台。这些数据表明，易受攻击的服务器分布广泛，且数量庞大。组织应检查自身Qlik Sense服务器是否暴露于互联网，并评估其补丁状态。
入侵指示器的多重含义
Fox-IT指出，远程Qlik Sense服务器上出现入侵指示器可能意味着攻击者已远程执行代码，也可能只是以前安全事件的遗留物。关键是要明白“已被入侵”可能表示勒索软件已部署但初始访问工件未删除，或者系统仍被入侵并可能在未来发生勒索软件攻击。因此，发现指示器后需进一步调查以确定实际风险。
协同响应与通知机制
Fox-IT将漏洞服务器的指纹和扫描数据转发给DIVD，DIVD随后联系管理员或通过国家计算机应急小组转达信息。ShadowServer基金会也协助发出警报。这种多组织协作模式有助于快速通知潜在受害者。如果组织收到此类警报，应认真对待，因为ShadowServer表示网络有可能已受到攻击。
Q&A
Cactus勒索软件是如何攻击Qlik Sense服务器的？
Cactus勒索软件团伙利用Qlik Sense平台中的三个漏洞进行攻击，具体包括CVE-2023-41266、CVE-2023-41265和CVE-2023-48365。
目前有多少台Qlik Sense服务器受到Cactus组织的攻击？
Fox-IT发现3143台Qlik Sense服务器仍然受到Cactus组织漏洞的攻击。
哪些国家的Qlik Sense服务器最容易受到攻击？
易受攻击的Qlik Sense服务器主要分布在美国、意大利、巴西、荷兰和德国等国家。
ShadowServer基金会在此事件中扮演什么角色？
ShadowServer基金会正在协助面临风险的组织，并发出警报，提醒他们可能受到Cactus勒索软件攻击。
如何检查Qlik Sense服务器是否受到攻击？
可以通过检查是否存在扩展名为.ttf或.woff的文件来远程确定是否存在受攻击的实例。
Cactus勒索软件攻击的潜在后果是什么？
攻击者可能在服务器上远程执行代码，或者系统仍被入侵，可能导致未来的勒索软件攻击。
