هکرها برای عبور از فیلترهای ایمیل و راه اندازی کمپین های فیشینگ، پشت وب سایت های خود مایکروسافت پنهان می شوند

مهاجمان از داشبورد Microsoft Power BI سوء استفاده کردند تا قربانیان را برای دانلود نرم افزار ScreenConnect فریب دهند.

داشبوردهای عمومی اسناد محو شده را تقلید می کردند و کاربران را به سایت های تحت کنترل مهاجم هدایت می کردند

کمپین دسترسی از راه دور دائمی را ایجاد کرد که به طور بالقوه باج افزار، جاسوسی یا سرقت داده را فعال می کند به نظر می رسد که Power BI مایکروسافت به آخرین مورد در خط رو به رشد نرم افزارهای قانونی تبدیل شده است که در حملات فیشینگ مورد سوء استفاده قرار می گیرند.

محققان امنیتی Huntress گفتند که کمپین جدیدی را کشف کردند که از داشبوردهای Power BI در دسترس عموم استفاده می کند تا افراد را فریب دهد تا نرم افزار نظارت و مدیریت از راه دور (RMM) به نام ScreenConnect را دانلود کنند. پایان بازی کمپین در حال حاضر مشخص نیست.

Power BI

Power BI پلتفرم تجسم اطلاعات و هوش تجاری مایکروسافت است که به کاربران امکان می دهد نمودارها، گزارش ها و داشبوردهای مختلف را از داده ها و سایر اطلاعات خام خود ایجاد کنند. خود این ابزار می‌تواند داده‌ها را از منابعی مانند صفحات گسترده، پایگاه‌های اطلاعاتی، سرویس‌های ابری و غیره جمع‌آوری کند و کاربران می‌توانند گزارش‌ها و داشبوردها را به صورت آنلاین منتشر کنند یا به صورت خصوصی با همکاران به اشتراک بگذارند.

در این کمپین که در 10 سپتامبر 2026 یا حوالی آن آغاز شد، عوامل تهدید یک داشبورد عمومی ایجاد کردند که احتمالا از یک حساب مایکروسافت دور ریخته شده (یا یک حساب در معرض خطر) استفاده می کند. هانترس نحوه به دست آوردن آن حساب را تأیید نمی کند، اما می گوید که داشبورد به گونه ای طراحی شده است که مانند یک سند تار با دکمه ای با عنوان "مرجع دانلود" به نظر برسد.

ترفند مبهم سند در ایمیل‌های فیشینگ بسیار رایج است. سرویس‌های دیگری مانند DocuSign، Dropbox و حتی Office 365 نیز به همین شکل مورد سوء استفاده قرار می‌گرفتند. برای رفع محو کردن (یا باز کردن قفل) سند، به قربانیان گفته می‌شود که روی یک پیوند کلیک کرده و آن را دنبال کنند.

گاهی از آن‌ها خواسته می‌شود که یک نسخه «پریمیوم» از یک خواننده سند یا نسخه «به‌روزشده» را دانلود کنند، و گاهی از آنها خواسته می‌شود با استفاده از اعتبار آفیس یا Google خود وارد سیستم شوند. این حمله تفاوتی ندارد - با کلیک بر روی دکمه "دانلود مرجع" قربانی را به یک وب سایت تحت کنترل مهاجم خارج از زیرساخت مایکروسافت هدایت می کند، جایی که دانلود خودکار ScreenConnect راه اندازی می شود.

ScreenConnect به خودی خود مخرب نیست. این یک ابزار دسترسی از راه دور و پشتیبانی قانونی است که توسط ConnectWise توسعه یافته و برای کمک به کارکنان فناوری اطلاعات در مدیریت دستگاه ها از راه دور طراحی شده است. از طریق این محصول، کاربران می توانند دستگاه های دیگر را در اینترنت متصل کنند، مشکلات را عیب یابی کنند، فایل ها را انتقال دهند و نرم افزار نصب کنند. پس از نصب و اتصال به یک نقطه پایانی تحت کنترل مهاجم، ScreenConnect می تواند دسترسی از راه دور دائمی را فراهم کند.

ایجاد پایداری

محققان درباره نحوه تحویل ایمیل‌ها صحبت نکردند، اما از آنجایی که آنها حاوی پیوندی به یک سرویس قانونی مایکروسافت بودند، به احتمال زیاد حداقل از برخی فیلترهای ایمیل فرار کرده و در صندوق‌های ورودی افراد قرار گرفتند. از این گذشته، احتمالا به همین دلیل است که از Power BI در وهله اول استفاده شده است (به غیر از این واقعیت که معمولا از این طریق سوء استفاده نمی شود).

اما چیزی که در مورد این حمله جالب است این است که پس از استقرار یک نمونه ScreenConnect، مهاجمان نمونه دوم را مستقر کردند و یک وظیفه برنامه ریزی شده را برای اجرای مکرر یک اسکریپت PowerShell پیکربندی کردند. حداقل در یک مورد، نمونه اول را هم حذف کردند.

چرا آنها این کار را کردند یک راز باقی مانده است. یک حدس تحصیل‌کرده این است که آن‌ها تلاش می‌کردند دسترسی از راه دور قابل اعتماد و دائمی ایجاد کنند، در عین حال مطمئن می‌شدند که فعالیت‌هایشان برای شناسایی و اختلال سخت‌تر است. اگر مدافعان یک نصب ScreenConnect مخرب را کشف و حذف کنند، نصب دوم ممکن است در دسترس باقی بماند.

متأسفانه این همه در حوزه حدس و گمان است، زیرا هانترس حمله مشاهده شده را قبل از اینکه فراتر از ایجاد دسترسی از راه دور پیشرفت کند متوقف کرد. بنابراین، ما نمی دانیم که آیا هدف سرقت داده ها، استقرار باج افزار یا کلاهبرداری مالی بوده است. آنچه ما می دانیم این است که با دو ScreenConnect، آنها توانستند جای پایی بادوام در داخل شبکه های شرکتی ایجاد کنند، که متعاقبا می توانند از آن برای جاسوسی، سرقت داده، باج افزار یا سایر حملات با انگیزه مالی استفاده کنند.

به عنوان یک قاعده کلی، بهترین راه برای دفاع در برابر این نوع حملات این است که نسبت به ایمیل‌های دریافتی، به‌ویژه ایمیل‌هایی که لینک‌هایی به اسناد قفل شده دارند، و حتی بیشتر از آن‌هایی که به ScreenConnect پایان می‌دهند، بسیار شک داشته باشید.