Qlik Sense, nuevo objetivo de shells inversos y exploits

Qlik Sense en el punto de mira: shells inversos y explotación de ActiveMQ y Veeam

El equipo de CyOps y Research de Cynet ha detectado una campaña dirigida contra servidores Qlik Sense en la que los atacantes intentaron ejecutar comandos PowerShell para obtener shells inversos. Los hechos se produjeron en octubre de 2026 y afectaron a varios clientes con sede en la Unión Europea en una ventana de algo más de tres minutos. Aunque los intentos no tuvieron éxito, la actividad comparte similitudes con tácticas de explotación de ActiveMQ y Veeam, lo que sugiere un interés creciente por parte de los atacantes en estas plataformas.

¿Qué es un shell inverso y por qué Qlik Sense?

Un shell inverso es una técnica que permite a un atacante tomar el control remoto de un servidor. El malware establece una conexión desde la víctima hacia el atacante, evitando así las restricciones de firewall que bloquean conexiones entrantes. Qlik Sense, plataforma de análisis de datos muy utilizada en el ámbito empresarial, se convierte en un objetivo atractivo porque suele almacenar información sensible y, en muchas ocasiones, se despliega con configuraciones predeterminadas o sin las últimas actualizaciones.

En este caso, los atacantes intentaron ejecutar comandos de PowerShell para lanzar el shell inverso. Aunque el intento no prosperó, el hecho de que se dirigieran a varios clientes en un intervalo tan corto indica un escaneo automatizado y una búsqueda activa de vulnerabilidades en este tipo de servidores.

Relación con ActiveMQ y Veeam

La noticia señala que la actividad comparte similitudes con la explotación de ActiveMQ y Veeam. Estos productos también son habituales en infraestructuras empresariales y han sido objeto de vulnerabilidades críticas en el pasado. Los atacantes suelen reutilizar técnicas y herramientas que les han funcionado en otras plataformas, adaptándolas a nuevos objetivos. Por tanto, no sería extraño que estemos ante un mismo grupo o ante una campaña coordinada que busca aprovechar fallos conocidos en software de gestión de datos, mensajería y copias de seguridad.

Impacto para las pymes y equipos de IT

Para una pyme, un servidor Qlik Sense comprometido puede suponer la exposición de datos financieros, comerciales o de clientes. Además, si el atacante logra un shell inverso, podría moverse lateralmente hacia otros sistemas, como ActiveMQ o Veeam, y comprometer la copia de seguridad o la mensajería interna. La ventana de tres minutos en la que se produjeron los intentos refleja la velocidad de los ataques automatizados: cualquier retraso en la aplicación de parches o en la detección puede ser crítico.

Los equipos de IT deben revisar si sus servidores Qlik Sense están expuestos a internet. En muchos casos, estas plataformas se despliegan en redes internas, pero en entornos híbridos o con acceso remoto, la superficie de ataque aumenta. También es fundamental comprobar los registros de PowerShell y las conexiones salientes inusuales, ya que un shell inverso se manifiesta como una conexión desde el servidor hacia una IP externa no reconocida.

Recomendaciones de ForgeNEX

• Actualice Qlik Sense y sus componentes asociados a la última versión disponible. Los parches suelen corregir vulnerabilidades que los atacantes explotan.
• Restrinja el acceso a los servidores Qlik Sense mediante segmentación de red y listas de control de acceso. No exponga estos servicios directamente a internet si no es imprescindible.
• Habilite registros detallados de PowerShell y monitorice conexiones salientes sospechosas. Herramientas como Sysmon o soluciones EDR pueden ayudar a detectar shells inversos.
• Revise la configuración de ActiveMQ y Veeam si su organización los utiliza, y aplique las actualizaciones de seguridad más recientes. La noticia sugiere que los atacantes podrían estar preparando exploits para estas plataformas.
• Establezca un plan de respuesta a incidentes que incluya la contención rápida de un servidor comprometido y la revisión de copias de seguridad.

La detección temprana es clave. En un ataque que dura solo unos minutos, la diferencia entre un intento fallido y un compromiso exitoso puede depender de una regla de firewall bien configurada o de una alerta de comportamiento anómalo. Para pymes con recursos limitados, contar con un socio tecnológico que monitorice estos sistemas y aplique parches de forma proactiva puede marcar la diferencia.

Este incidente se suma a una tendencia preocupante: los atacantes no solo buscan vulnerabilidades en software de oficina o correo, sino también en plataformas de análisis y copias de seguridad. Como comentamos en el artículo sobre el récord de Westcon-Comstor impulsado por la ciberseguridad, la inversión en seguridad ya no es un gasto opcional para las pymes, sino una necesidad para proteger sus datos y su continuidad de negocio.

En ForgeNEX recomendamos revisar periódicamente la superficie de exposición de todos los servicios críticos, no solo los más evidentes. La campaña contra Qlik Sense demuestra que los atacantes están explorando activamente plataformas de análisis de datos. Si su empresa utiliza Qlik Sense, ActiveMQ o Veeam, es el momento de verificar que las configuraciones son seguras y que los parches están al día.

Fuente: The Hacker News. Análisis y adaptación: ForgeNEX.