Хакеры спрятали ловушку в Power BI

Хакеры начали использовать легитимный сервис Microsoft Power BI, чтобы обходить часть почтовых фильтров и заманивать пользователей в фишинговую кампанию. Исследователи Huntress обнаружили схему, в которой публичные панели Power BI маскировались под размытые документы, а жертвам предлагали нажать кнопку «Download Reference» — «Скачать справочный материал». После этого пользователь попадал на внешний сайт злоумышленников, где автоматически запускалась загрузка программы ScreenConnect.

Power BI — платформа Microsoft для бизнес-аналитики и визуализации данных. Она позволяет создавать отчёты, графики и интерактивные панели на основе информации из таблиц, баз данных, облачных сервисов и других источников. Готовыми материалами можно делиться публично или только с коллегами. Именно легитимность домена Microsoft, вероятно, помогла вредоносным письмам пройти хотя бы часть почтовых проверок.

Кампания началась примерно 10 сентября 2026 года. Злоумышленники, предположительно используя временную или скомпрометированную учётную запись Microsoft, создали публичную панель, которая выглядела как намеренно размытый документ. Подобный приём давно применяют в фишинге: жертве обещают «разблокировать» или «расшифровать» файл, если она перейдёт по ссылке. Ранее для этого злоупотребляли DocuSign, Dropbox и Office 365. Пользователей могли убеждать установить «премиальную» или «обновлённую» программу для чтения документов либо ввести учётные данные Office или Google.

В рассматриваемой атаке кнопка в Power BI перенаправляла человека на сайт за пределами инфраструктуры Microsoft. Там запускалась загрузка ScreenConnect — настоящего инструмента удалённого доступа и технической поддержки от ConnectWise. Сам по себе ScreenConnect не является вредоносной программой: специалисты используют его для удалённого управления устройствами, диагностики, передачи файлов и установки программ. Но после подключения к узлу, контролируемому атакующими, он может обеспечить постоянный доступ к компьютеру.

Huntress не раскрыла, каким именно способом рассылались письма. Однако ссылка на настоящий сервис Microsoft могла помочь им попасть во входящие, минуя часть автоматических фильтров. Вероятно, именно ради этого Power BI и выбрали — к тому же такой сервис пока редко связывают с фишинговыми атаками.

Особенность кампании обнаружилась после установки ScreenConnect. Злоумышленники развернули второй экземпляр программы и создали запланированное задание, которое регулярно запускало скрипт PowerShell. Как минимум в одном случае первый экземпляр затем удалили. Исследователи предполагают, что таким образом атакующие пытались сохранить резервный канал доступа и усложнить обнаружение. Если защитники удалили бы одну установку, вторая могла продолжить работу.

Наблюдение Huntress остановило атаку до того, как преступники успели перейти к следующему этапу. Поэтому неизвестно, планировали ли они красть данные, устанавливать программы-вымогатели или заниматься финансовым мошенничеством. Достоверно установлено другое: две установки ScreenConnect позволяли закрепиться в корпоративной сети и впоследствии использовать этот доступ для шпионажа, кражи информации, вымогательства или других атак ради денег.

Защита начинается с недоверия к неожиданным письмам, особенно к сообщениям со ссылками на «заблокированные» или размытые документы. Отдельный тревожный сигнал — предложение установить ScreenConnect или другой инструмент удалённого управления без понятной служебной причины.