Angripare använde en offentlig Microsoft Power BI-instrumentpanel för att leda människor till en nedladdning av ScreenConnect i en nätfiskekampanj, enligt säkerhetsforskarna på Huntress. Kampanjen började omkring den 10 september 2026, uppger forskarna.
Instrumentpanelen såg ut att visa ett suddigt dokument och hade en knapp med texten ”Download Reference”. När någon klickade skickades personen vidare till en webbplats utanför Microsofts infrastruktur, där ScreenConnect laddades ned automatiskt. Huntress kunde inte bekräfta hur kontot som användes för att skapa instrumentpanelen hade kommit till; det kan ha varit ett tillfälligt konto eller ett kapat Microsoft-konto.
ScreenConnect är ett legitimt verktyg för fjärråtkomst och support från ConnectWise. När det har installerats och anslutits till en slutpunkt som angriparen kontrollerar kan det ge varaktig fjärråtkomst. Forskarna beskrev inte hur nätfiskemejlen skickades. Huntress bedömer att länkar till en legitim Microsoft-tjänst kan ha hjälpt vissa mejl att passera e-postfilter.
I en anmärkningsvärd del av kampanjen installerade angriparna en andra ScreenConnect-instans och skapade en schemalagd aktivitet som körde ett PowerShell-skript upprepade gånger. I minst en incident raderade de också den första instansen. Huntress kunde inte fastställa varför. Tanken att det skulle göra åtkomsten mer varaktig eller svårare att upptäcka är en spekulation.
Huntress stoppade den observerade aktiviteten efter att fjärråtkomst hade upprättats. Därför är det okänt om angriparna tänkte stjäla data, sprida utpressningsprogram, begå ekonomiskt bedrägeri eller göra något annat. Forskarna säger att de två installationerna gav angriparna ett fotfäste som senare kunde användas för spionage, datastöld, utpressningsprogram eller andra ekonomiskt motiverade angrepp.
Kommentarer
0Inga kommentarer ännu. Skriv den första.