近期安全厂商监测到攻击团伙专门瞄准 Qlik Sense 服务器发起入侵，攻击载荷里面预置反弹 Shell，同时打包了 ActiveMQ 和 Veeam 漏洞利用工具，一旦拿下 Qlik Sense 权限，攻击者就可以横向渗透内网，拿下更多服务器。很多企业部署 Qlik BI 系统的时候，只关注业务报表功能，忽略了外网暴露、弱口令、组件漏洞这些风险，Qlik Sense 本身具备强大的数据查询、脚本执行能力，一旦被攻击者拿到入口，很容易直接读取业务数据库；再加上载荷自带 ActiveMQ、Veeam 漏洞利用工具，不需要攻击者再上传工具包，拿到初始立足点之后，直接尝试利用这两个常用中间件、备份软件漏洞扩大战果，窃取数据、植入后门。企业运维人员要先排查有没有公网直接暴露 Qlik Sense 服务，接着加固账号密码、开启日志审计，同时检查内网里 ActiveMQ、Veeam 备份系统的补丁状态，分层做好边界防护、内网隔离，降低被横向渗透的风险。
一、本次攻击链梳理
| 阶段 | 攻击动作 | 风险说明 |
|---|---|---|
| 初始入口 | 探测公网 Qlik Sense 服务，尝试漏洞 / 弱口令进入 | Qlik 可执行脚本，天然适合作为攻击跳板 |
| 载荷投放 | 上传并执行反弹 Shell，建立远程控制通道 | 攻击者获得服务器交互式控制权 |
| 工具预置 | 载荷自带 ActiveMQ、Veeam 漏洞 EXP 工具包 | 无需外部下载，规避沙箱、流量检测 |
| 横向渗透 | 对内网扫描，尝试利用 ActiveMQ、Veeam 漏洞 | Veeam 被拿下会直接控制全量备份数据 |
| 持久化 & 窃取 | 留后门、导出业务数据、篡改备份文件 | 影响核心业务、数据泄露、勒索风险 |
二、重点风险组件说明
- Qlik Sense：BI 可视化分析平台，支持自定义脚本，外网暴露 + 未加固是这次攻击的首要突破口。
- ActiveMQ：消息中间件，很多企业内网业务在用，历史存在远程代码执行高危漏洞，是内网横向常用目标。
- Veeam：企业备份备份系统，一旦被攻破，攻击者可以加密、删除备份，导致遭遇勒索后无法恢复数据。
- 反弹 Shell：攻击者和被控服务器建立反向连接，绕过部分防火墙入站规则，远程下发指令。
三、运维自查处置步骤
- 资产测绘：梳理是否存在公网直接放行 Qlik Sense，无必要就下线公网暴露，改用 VPN 访问。
- 账号审计：清理默认账号、弱口令，开启 MFA 多因素认证，限制 Qlik 脚本执行权限。
- 日志核查：查看 Qlik 访问日志、系统进程、网络连接，排查陌生反弹连接、异常脚本执行记录。
- 补丁更新：Qlik Sense、ActiveMQ、Veeam 同步升级到最新安全版本，关闭不必要管理端口。
- 内网隔离：把 BI 服务器、消息中间件、备份服务器划分不同安全域，限制跨域访问权限。
- 查杀检测：主机安全、EDR 扫描，排查是否存在反弹 Shell 脚本、陌生 EXP 工具。
四、高频避坑清单
❌ 误区 1：只打 Qlik 补丁，忽略内网 ActiveMQ、Veeam。攻击者拿到跳板之后目标就是这两类系统。
❌ 误区 2：备份系统只做备份，不做防护。Veeam 是勒索攻击重点目标，备份沦陷等于最后防线失效。
❌ 误区 3：防火墙只拦入站，不监控出站连接。反弹 Shell 是向外发起连接，出站审计同样重要。
✅ 建议：对 Qlik Sense 脚本执行做白名单管控，禁止执行系统命令、访问内网其他主机。
【相关 FAQ】
问题 1：攻击者针对 Qlik Sense 服务器投放反弹 Shell，预置 ActiveMQ 与 Veeam 漏洞利用工具，这套攻击的核心目的是什么？
回答 1：攻击者先拿下 Qlik Sense 服务器作为跳板，通过反弹 Shell 维持控制，再使用预置的 ActiveMQ、Veeam 漏洞利用工具横向渗透内网，重点窃取业务数据、破坏备份系统，为后续勒索或者数据窃取做准备。
问题 2：企业内网同时部署了 Qlik Sense、ActiveMQ、Veeam，怎么防御这类反弹 Shell 攻击？
回答 2：优先不要公网裸奔 Qlik Sense，加固账号并开启二次验证，监控异常出站反弹连接；给 ActiveMQ、Veeam 打好安全补丁，做好网络域隔离，开启 EDR 监控陌生漏洞利用工具和脚本执行行为。
问题 3：服务器已经发现反弹 Shell、带有 ActiveMQ 和 Veeam 漏洞工具，应急处置顺序是什么？
回答 3：先隔离主机，切断反弹 Shell 的通信链路，再备份取证，查杀恶意工具，排查是否横向扩散到 ActiveMQ、Veeam 服务器，修复漏洞、重置全部相关账号，最后恢复业务并复盘加固。
【参考资料】
[2026-11-12]（安全告警：Qlik Sense 服务器遭攻击，载荷内置 ActiveMQ、Veeam 漏洞利用工具）奇安信威胁情报中心
[2026-11-12]（针对 Qlik BI 的反弹 Shell 攻击活动，内网横向瞄准 Veeam 与 ActiveMQ）腾讯安全玄武实验室
[2026-11-10]（Qlik Sense 暴露面风险和常见入侵路径分析）绿盟科技威胁情报
[2026-11-08]（ActiveMQ 历史 RCE 漏洞风险和内网横向检测方案）嘶吼安全学院
[2026-11-05]（Veeam 备份系统攻防要点，勒索团伙重点目标）深信服安全智库
【免责声明】
- 本文攻击情报、技术动作来自安全厂商公开威胁情报，仅用于企业安全运维自查、应急参考，严禁用于未经授权的渗透测试、攻击行为。
- 漏洞利用、反弹 Shell 相关技术具备高危害性，任何单位和个人使用相关工具攻击未授权系统，会触犯网络安全相关法律法规。
- 告警中的攻击活动属于持续变化的黑产行为，IOC、攻击样本、漏洞版本会持续更新，防护策略请以安全厂商最新情报为准。
- 本文不构成等保、安全建设的正式方案，重要业务系统建议联系专业安全服务商开展渗透测试与应急响应。
本文来自作者[Silas69]投稿，不代表海博商机网立场，如若转载，请注明出处：https://www.hb12369.net/qyzx/202611/783.html
评论列表（4条）
我是海博商机网的签约作者“Silas69”！
希望本篇文章《攻击者瞄准 Qlik Sense 服务器投放反弹 Shell，内置 ActiveMQ、Veeam 漏洞利用工具攻击告警》能对你有所帮助！
本站[海博商机网]内容主要涵盖：互联网行业的追踪与探索
本文概览：近期安全厂商监测到攻击团伙专门瞄准 Qlik Sense 服务器发起入侵，攻击载荷里面预置反弹 Shell，同时打包了 ActiveMQ 和 Veeam 漏洞利用工具，一旦拿下 Qlik Sense 权限，攻击者就可以横向渗透内网，拿下更多服务器。很多企业部署 Qlik BI 系统的时候，只关注业务报表功能，忽略了外网暴露、弱口令、组件漏洞这些风险，Qlik Sense 本身具备强大的数据查询、脚本执行能力，一旦被攻击者拿到入口，很容易直接读取业务数据库；再加上载荷自带 ActiveMQ、Veeam 漏洞利用工具，不需要攻击者再上传工具包，拿到初始立足点之后，直接尝试利用这两个常用中间件、备份软件漏洞扩大战果，窃取数据、植入后门。企业运维人员要先排查有没有公网直接暴露 Qlik Sense 服务，接着加固账号密码、开启日志审计，同时检查内网里 ActiveMQ、Veeam 备份系统的补丁状态，分层做好边界防护、内网隔离，降低被横向渗透的风险。