Исследователи компании Huntress сообщили о новой хакерской кампании, в которой злоумышленники использовали платформу Microsoft Power BI для распространения вредоносного программного обеспечения удалённого мониторинга и управления. Об этом говорится в отчёте, на который ссылается TechRadar Pro.
По информации Huntress, хакеры создавали общедоступные информационные панели Power BI, имитирующие размытые документы. Жертвам отправляли электронные письма с предложением нажать кнопку «Загрузить справку» для просмотра полного документа. Переход по этой ссылке перенаправлял пользователя на сайт, подконтрольный злоумышленникам, где автоматически загружалась программа ScreenConnect.
Microsoft Power BI — это сервис для бизнес-аналитики и визуализации данных, который позволяет создавать графики, отчёты и панели управления из различных источников. В данном случае платформа стала прикрытием для фишинговой атаки. Исследователи отмечают, что для создания панелей могли использоваться временные или взломанные учётные записи Microsoft.
Подобная схема с «размытыми документами» уже применялась ранее через сервисы DocuSign, Dropbox и Office 365. Обычно пользователям предлагали разблокировать документ, загрузив обновлённую программу или введя свои учётные данные. В случае с Power BI нажатие кнопки приводило к установке ScreenConnect.
ScreenConnect — это легальный инструмент от компании ConnectWise для удалённой поддержки и администрирования устройств. Однако в руках хакеров он становится средством для получения постоянного доступа к корпоративным системам. Особенностью этой атаки стало то, что после установки одного экземпляра ScreenConnect злоумышленники разворачивали второй и настраивали в Windows выполнение PowerShell-скрипта для регулярного запуска. Эксперты предполагают, что это позволяло обеспечить устойчивый доступ к системе жертвы и усложняло обнаружение активности.
Исследователи не уточнили, каким именно способом рассылались электронные письма, но поскольку они содержали ссылки на легитимный сервис Microsoft, письма могли обходить почтовые фильтры и попадать во входящие ящики пользователей. Именно это, вероятно, и стало причиной выбора Power BI для атаки, ведь этот сервис редко используется в фишинговых кампаниях.
Конечные цели хакеров остаются неизвестными. Возможными мотивами могли быть кража данных, шпионаж, финансовое мошенничество или развёртывание программ-вымогателей. Известно лишь, что двойное использование ScreenConnect создавал надёжный плацдарм в сетях компаний.
«Даже использование легальных сервисов не гарантирует безопасности — следует быть особенно внимательными к письмам со ссылками на ‘заблокированные’ документы», — предупреждают исследователи Huntress.