QlikSense服务器遭定向攻击，黑客预置ActiveMQ与Veeam漏洞利用工具

2026年10月，网络安全研究机构监测到一起针对商业智能平台Qlik Sense服务器的定向入侵事件。此次攻击并非随机扫描所致，而是具有明确目标指向性与技术准备深度的高级持续性威胁（APT）行为。攻击者在成功渗透后，不仅植入了反弹Shell以维持远程控制能力，还预先部署了针对Apache ActiveMQ和Veeam Backup & Replication产品的漏洞利用工具集，显示出高度定制化的攻击链设计。

Qlik Sense作为全球主流的数据可视化与商业分析平台，广泛部署于金融、制造、能源等关键行业。其服务器端若被攻陷，可能导致企业核心业务数据泄露、报表篡改甚至被用于横向移动至内网其他系统。此次事件中，攻击者选择Qlik Sense作为入口点，反映出其对高价值数据资产流转路径的精准研判——BI平台常集成多源数据库与ETL流程，天然具备“数据枢纽”属性。

据公开技术分析报告，攻击链起始于对未及时修补的Web服务接口的利用。尽管原始素材未明确指出具体漏洞编号，但结合上下文及行业惯例，此类攻击常依赖于中间件或依赖组件的已知漏洞。值得注意的是，攻击载荷中包含针对ActiveMQ的CVE-2023-46604（反序列化远程代码执行漏洞）及Veeam Backup的CVE-2023-27532（身份验证绕过+RCE）等高危漏洞利用模块。这表明攻击者在行动前已完成目标环境的资产测绘，并针对性地准备了多套武器库。

进一步溯源显示，该攻击活动的TTPs（战术、技术与过程）与名为CACTUS的威胁组织过往行动高度一致。CACTUS曾于2024—2025年间多次针对亚太地区金融机构与制造业企业发起攻击，惯用手法包括：利用开源框架漏洞获取初始访问权限、部署轻量级持久化后门、通过合法软件签名绕过EDR检测、以及借助备份系统作为跳板进行横向扩散。本次事件中，攻击者在Qlik服务器上部署的反弹Shell采用加密C2通信协议，并伪装为系统日志进程，其行为模式与CACTUS在2025年Q3针对某跨国车企的攻击样本几乎完全重合。

值得警惕的是，Qlik Sense本身虽非传统意义上的“高危暴露面”，但其默认配置中常开启REST API、WebSocket服务及第三方扩展接口，若管理员未严格限制访问IP或启用强认证机制，极易成为攻击跳板。此外，部分企业将Qlik与ActiveMQ、Veeam等组件部署在同一物理或虚拟网络段内，无形中放大了攻击面——一旦Qlik失陷，攻击者可快速利用内部信任关系横向移动。

从技术演进角度看，此次事件体现了APT攻击策略的两个新趋势：一是“预置式武器库”成为标准配置，攻击者不再临时开发Exploit，而是提前打包多个通用漏洞利用模块，根据目标环境动态启用；二是“数据中枢优先”原则日益凸显，攻击者更倾向于选择连接多系统的中间层平台（如BI、API网关、CI/CD流水线），而非直接攻击终端或数据库。

行业影响层面，该事件再次敲响警钟：企业级数据分析平台的安全防护长期被低估。许多组织将资源集中于防火墙、终端防病毒与数据库加密，却忽视了BI工具自身的补丁管理与访问控制。Qlik官方尚未就本次事件发布正式公告，但已向客户推送紧急安全建议，强调需立即核查服务器日志中是否存在异常进程（如java -jar agent.jar类启动项）、检查ActiveMQ与Veeam组件版本，并禁用非必要API端点。

补充背景方面，近期类似风险正在上升。例如，ThinkPHP框架在2024年曝出的CVE-2024-44902反序列化漏洞（影响6.1.3及以下版本），同样被观察到出现在多起APT活动中。该漏洞允许未经身份验证的远程攻击者通过特制请求触发任意代码执行，与ActiveMQ漏洞形成“组合拳”效应——攻击者可先利用ThinkPHP漏洞入侵前端应用，再通过内网探测找到Qlik或Veeam服务实施二次打击。

安全专家指出，防御此类攻击需采取纵深策略：第一层应强化边界隔离，避免BI平台直接暴露于公网；第二层需实施最小权限原则，Qlik服务账户不应拥有对ActiveMQ或Veeam的写权限；第三层须部署运行时防护，监控异常子进程创建与外联行为；最后，定期开展红蓝对抗演练，重点检验“从BI平台到备份系统”的横向移动路径是否可控。

目前尚无证据表明本次攻击已造成大规模数据泄露，但受影响企业的应急响应工作仍在持续。随着Qlik用户基数持续增长，此类针对数据智能基础设施的定向攻击预计将在未来半年内进一步增多。对于依赖Qlik构建决策体系的企业而言，此次事件不仅是单一产品的安全警报，更是对整个数据治理架构韧性的压力测试。