攻击者利用 Microsoft Power BI 实施钓鱼活动
- 攻击者滥用 Microsoft Power BI 仪表板诱使受害者下载 ScreenConnect 软件
- 公共仪表板模仿模糊文档并将用户重定向至攻击者控制的网站
- 该活动旨在建立持续的远程访问，可能为勒索软件、间谍软件或数据盗窃铺路
安全研究人员 Huntress 披露了一项新的网络钓鱼活动，攻击者利用 Microsoft 的合法商业智能工具 Power BI 作为掩护，诱导受害者下载远程监控和管理软件 ScreenConnect。这一手段表明，Power BI 正成为继其他常见服务之后，被滥用于网络攻击的最新目标。
Power BI 与模糊文档战术
Power BI 是 Microsoft 提供的商业智能和数据可视化平台，支持用户从电子表格、数据库及云服务等多源数据中创建图表和仪表板，并允许公开分享或内部协作。据 Huntress 报告，此次攻击始于 2026 年 9 月 10 日左右。威胁行为者利用一次性或被泄露的 Microsoft 账户创建了公共 Power BI 仪表板，其界面设计刻意模仿“模糊”或“锁定”状态的文档。
这种“模糊文件”策略在钓鱼邮件中较为常见，此前 DocuSign、Dropbox 甚至 Office 365 等服务也曾被类似手法滥用。为了查看所谓的“加密”内容，受害者被要求点击链接进行解锁或登录。在此次攻击中，受害者点击“下载参考”按钮后，会被重定向至位于 Microsoft 基础设施之外的、由攻击者控制的网站。
ScreenConnect 的恶意部署
最终下载的 ScreenConnect 本身并非恶意软件，而是由 ConnectWise 开发的一款合法的远程访问和支持工具，通常用于 IT 人员远程管理设备、传输文件或安装软件。然而，一旦安装在受害者设备上并连接至攻击者控制的终端，它便提供了持续的远程访问权限。
Huntress 指出，由于邮件中包含指向合法 Microsoft 服务的链接，这类邮件往往能绕过部分安全过滤机制，这也可能是攻击者选择 Power BI 作为载体的原因之一。尽管研究人员未详细披露电子邮件的具体投递方式，但整个攻击链条的核心在于利用信任关系降低受害者警惕性。
建立持久化访问机制
该活动的技术细节显示，攻击者在部署第一个 ScreenConnect 实例后，并未止步于此。他们随后部署了第二个实例，并配置了一个计划任务以重复执行 PowerShell 脚本。在某些案例中，攻击者还删除了第一个实例。这种做法意在建立可靠且持久的远程访问立足点：即使安全团队发现并移除其中一个恶意安装，另一个仍能维持对系统的控制。
目前，Huntress 已在远程访问完全建立前阻止了观察到的攻击，因此尚不清楚攻击者的最终具体意图是窃取数据、部署勒索软件还是进行金融欺诈。但可以确定的是，通过双重 ScreenConnect 部署，攻击者已具备在企业网络中建立稳固立足点的能力。
防御此类攻击的关键在于保持高度怀疑，特别是针对那些包含指向“锁定”文件链接的电子邮件，以及任何试图引导用户下载远程管理工具（如 ScreenConnect）的请求。
