Güvenlik araştırmacıları Huntress'e göre saldırganlar, kimlik avı kampanyasında insanları ScreenConnect indirmeye yönlendirmek için herkese açık bir Microsoft Power BI panosu kullandı. Araştırmacılar kampanyanın 10 Eylül 2026 civarında başladığını söyledi.
Pano, bulanıklaştırılmış bir belge görüntüsü veriyor ve “Download Reference” düğmesi içeriyordu. Düğmeye tıklayanlar, Microsoft altyapısının dışındaki bir siteye yönlendiriliyor ve ScreenConnect otomatik olarak indiriliyordu. Huntress, panoyu oluşturmak için kullanılan hesabın nasıl ele geçirildiğini doğrulamadı; hesap geçici olarak açılmış ya da başkasının eline geçmiş olabilir.
ScreenConnect, ConnectWise tarafından geliştirilen meşru bir uzaktan erişim ve destek aracıdır. Ancak kurulduktan ve saldırganın kontrolündeki bir uç noktaya bağlandıktan sonra kalıcı uzaktan erişim sağlayabilir. Araştırmacılar kimlik avı e-postalarının nasıl gönderildiğini açıklamadı. Huntress, meşru bir Microsoft hizmetine giden bağlantıların bazı iletilerin e-posta filtrelerini aşmasına yardımcı olmuş olabileceğini belirtti.
Kampanyanın dikkat çeken bir aşamasında saldırganlar ikinci bir ScreenConnect örneği kurdu ve PowerShell betiğini tekrar tekrar çalıştırmak üzere zamanlanmış bir görev ayarladı. En az bir olayda ilk örneği de sildiler. Huntress bunun nedenini belirleyemedi; amaçlarının erişimi daha kalıcı kılmak veya tespit edilmesini zorlaştırmak olduğu düşüncesi varsayımdan ibaret.
Huntress, gözlemlediği faaliyeti uzaktan erişim sağlandıktan sonra durdurdu. Bu nedenle saldırganların veri çalmayı, fidye yazılımı dağıtmayı, finansal dolandırıcılık yapmayı ya da başka bir amaç izleyip izlemediği bilinmiyor. Araştırmacılar, iki kurulumun saldırganlara daha sonra casusluk, veri hırsızlığı, fidye yazılımı veya finansal amaçlı başka saldırılar için kullanılabilecek bir yerleşim noktası sağladığını söyledi.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.