Momeală de phishing pe Power BI instalează clienți ScreenConnect neautorizați pentru acces persistent

O campanie de phishing folosește Microsoft Power BI ca poartă de intrare de încredere. La final, pe calculatorul Windows al victimei rămâne un client ScreenConnect controlat de atacatori, iar adesea și un al doilea, ca rezervă. Atacul nu exploatează nicio vulnerabilitate Power BI. El profită de încrederea pe care filtrele de email și utilizatorii o acordă linkurilor găzduite de Microsoft.

Ce s-a întâmplat

Cercetătorii Huntress spun că activitatea a început în jurul datei de 10 septembrie 2026 și și-au publicat analiza pe 7 octombrie. Lanțul de atac arată astfel:

1. Livrare — Un email de phishing în Outlook conține un link. Huntress nu a putut recupera mesajul original.
2. Momeală — Linkul deschide un raport Power BI public, pe domeniul legitim Microsoft. Raportul afișează un „formular de verificare a referințelor” încețoșat, cu un buton Download Reference. Potrivit cercetătorilor, atacatorii publică astfel de dashboard-uri din conturi pe care le controlează, inclusiv conturi compromise sau de unică folosință.
3. Filtrare — Butonul trimite vizitatorul către o pagină controlată de atacatori. Pagina colectează date despre sistemul de operare, browser, rezoluția ecranului, user-agent și semne de automatizare, apoi le trimite unui bot Telegram. O variantă servea doar sisteme Windows desktop și respingea vizitatorii din rețele Microsoft sau de la furnizori de internet neidentificați, ca să evite sandbox-urile și cercetătorii.
4. Payload — După o scurtă pauză, un link ascuns descarcă un installer ScreenConnect. Pagina afișează apoi un mesaj fals de „descărcare reușită”.
5. Acces și persistență — Primul client se conectează la un relay ScreenConnect administrat de atacatori. Apoi instalează un al doilea client, legat de o infrastructură separată, și îl elimină pe primul, pas pe care Huntress îl interpretează ca probabilă tentativă de evitare a detecției. Investigatorii au mai observat un instrument creat să ascundă activitatea de utilizatori și de soluțiile de securitate, plus un task programat care rula un script de „reparare” la fiecare două minute, până la intervenția echipei SOC.

Huntress a văzut mai multe endpoint-uri afectate în această campanie. O căutare istorică separată a găsit aceeași configurație de client pe alte 22 de endpoint-uri, în incidente diferite, dar acestea nu aparțin neapărat acestei campanii.

De ce contează

• Domeniile de încredere trec de filtre. Primul link duce la Microsoft, așa că gateway-urile care au încredere în acest domeniu îl pot lăsa să treacă.
• Instrumentele legitime se ascund ușor. ScreenConnect este un software de suport real și semnat. Pericolul vine din faptul că altcineva controlează conexiunea, nu din fișierul în sine.
• Eliminarea unui singur client nu ajunge. Atacatorii înlănțuie doi clienți, așa că ștergerea primului poate lăsa o ușă din spate funcțională.

Atenție la ce spune și ce nu spune raportul: nu numește un grup de atacatori și nu confirmă furt de date sau ransomware. Concluziile lui privesc lanțul de livrare și accesul de la distanță persistent.

Ce trebuie să faci

• Inventariază instrumentele RMM. Fă o listă cu toate instalările ScreenConnect și ale altor soluții de suport de la distanță și permite doar instanțele și relay-urile aprobate de organizație.
• Configurează alerte pentru instalări RMM noi și sesiuni de ieșire către relay-uri necunoscute. Tratează mai mulți clienți RMM pe aceeași stație ca semnal de alarmă.
• Caută mecanisme de persistență. Verifică task-urile programate noi care rulează la câteva minute, scripturile lansate din directoare temporare și PowerShell pornit din fișiere de comenzi.
• Întărește controalele pentru linkurile cloud „de încredere”. Nu excepta implicit URL-urile Power BI, SharePoint sau alte URL-uri Microsoft de la analiza linkurilor. Ia în calcul restricționarea conținutului Power BI „publish to web”, acolo unde tenant-ul permite.
• Informează utilizatorii. O „descărcare de document” care livrează un .exe sau un installer MSI nu este niciodată un document.
• În răspunsul la incident, elimină toți clienții neautorizați, blochează relay-urile lor și schimbă credențialele folosite pe stațiile afectate.

Credit: Pe baza cercetării Huntress și a relatării Cyber Security News. Raportul Huntress include lista completă de indicatori de compromitere (IoC). Rezumat și analiză: echipa 4Tify.