Los atacantes utilizaron un panel público de Microsoft Power BI para dirigir a las personas a una descarga de ScreenConnect en una campaña de phishing, según los investigadores de seguridad de Huntress. La campaña comenzó alrededor del 10 de septiembre de 2026, indicaron.
El panel parecía mostrar un documento difuminado e incluía un botón con el texto “Download Reference”. Al hacer clic, las víctimas eran redirigidas a un sitio web ajeno a la infraestructura de Microsoft, donde ScreenConnect se descargaba automáticamente. Huntress no confirmó cómo se obtuvo la cuenta usada para crear el panel; podría haber sido una cuenta temporal o una cuenta de Microsoft comprometida.
ScreenConnect es una herramienta legítima de acceso remoto y soporte desarrollada por ConnectWise. Sin embargo, una vez instalada y conectada a un punto final controlado por los atacantes, puede proporcionar acceso remoto persistente. Los investigadores no explicaron cómo se distribuyeron los correos de phishing. Huntress señaló que los enlaces a un servicio legítimo de Microsoft podrían haber ayudado a algunos mensajes a eludir los filtros de correo.
En un aspecto destacado de la campaña, los atacantes instalaron una segunda instancia de ScreenConnect y configuraron una tarea programada para ejecutar repetidamente un script de PowerShell. En al menos un incidente, también eliminaron la primera instancia. Huntress no determinó el motivo; la idea de que buscaban mantener el acceso o dificultar su detección es una especulación.
Huntress detuvo la actividad observada después de que se estableciera el acceso remoto. Por ello, se desconoce si los atacantes pretendían robar datos, desplegar ransomware, cometer fraude financiero o perseguir otro objetivo. Los investigadores dijeron que las dos instalaciones les dieron un punto de apoyo que podrían utilizar después para espiar, robar datos, desplegar ransomware u organizar otros ataques con motivación económica.
Comentarios
0Aún no hay comentarios. Escribe el primero.