Дослідники компанії Huntress повідомили про нову хакерську кампанію, у якій зловмисники використали платформу Microsoft Power BI для поширення шкідливого програмного забезпечення віддаленого моніторингу та управління. Про це йдеться у звіті, на який посилається TechRadar Pro.
За інформацією Huntress, хакери створювали загальнодоступні інформаційні панелі Power BI, що імітували розмиті документи. Жертвам надсилали електронні листи з пропозицією натиснути кнопку "Завантажити довідку" для перегляду повного документу. Перехід за цим посиланням перенаправляв користувача на сайт, підконтрольний зловмисникам, де автоматично завантажувалася програма ScreenConnect.
Microsoft Power BI — це сервіс для бізнес-аналітики та візуалізації даних, який дозволяє створювати графіки, звіти та панелі керування з різних джерел. У цьому випадку платформа стала прикриттям для фішингової атаки. Дослідники зазначають, що для створення панелей могли використовуватися тимчасові або зламані облікові записи Microsoft.
Подібна схема з "розмитими документами" вже застосовувалася раніше через сервіси DocuSign, Dropbox та Office 365. Зазвичай користувачам пропонували розблокувати документ, завантаживши оновлену програму або ввівши свої облікові дані. У випадку з Power BI натискання кнопки призводило до встановлення ScreenConnect.
ScreenConnect — це легальний інструмент від компанії ConnectWise для віддаленої підтримки та адміністрування пристроїв. Однак у руках хакерів він стає засобом для отримання постійного доступу до корпоративних систем. Особливістю цієї атаки стало те, що після встановлення одного екземпляра ScreenConnect зловмисники розгортали другий і налаштовували у Windows виконання PowerShell-скрипта для регулярного запуску. Експерти припускають, що це дозволяло забезпечити стійкий доступ до системи жертви й ускладнювало виявлення активності.
Дослідники не уточнили, яким саме способом розсилалися електронні листи, але оскільки вони містили посилання на легітимний сервіс Microsoft, листи могли обійти поштові фільтри та потрапити у вхідні скриньки користувачів. Саме це, ймовірно, і стало причиною вибору Power BI для атаки, адже цей сервіс рідко використовується у фішингових кампаніях.
Кінцеві цілі хакерів залишаються невідомими. Можливими мотивами могли бути крадіжка даних, шпигунство, фінансове шахрайство чи розгортання програм-вимагачів. Відомо лише, що подвійне використання ScreenConnect створювало надійний плацдарм у мережах компаній.
"Навіть використання легальних сервісів не гарантує безпеки — слід бути особливо уважними до листів із посиланнями на 'заблоковані' документи", — попереджають дослідники Huntress.