★ FEATURED ARTICLE 如果一封来自 Outlook 的邮件链接指向的确实是微软官方的 Power BI 页面地址栏里躺着再熟悉不过的 app.powerbi.com 域名你会怀疑它吗绝大多数人不会。而这正是攻击者精心计算的陷阱——2026 年 9 月 10 日起安全公司 Huntress 监测到一场新型钓鱼活动攻击者把用户对微软业务平台的信任变成了一扇通往 Windows 系统永久远控的后门。整个过程中没有利用任何 Power BI 漏洞却比漏洞更难防。这场攻击的起点是一封看似平常的钓鱼邮件。虽然原始邮件已无法完整恢复但调查人员还原出了后续链路邮件中的链接会在 Power BI 中打开一份刻意模糊的参考文档页面上只有一个醒目的下载参考按钮。需要说明的是这类手法并非首次出现——此前就有针对 ScreenConnect 的支付类钓鱼攻击用远控安装程序替换用户预期的文档下载上下文本身就是迷惑性的一环。攻击者此前就惯用这一招通过被盗用或一次性注册的账户在 Power BI 上创建公开仪表板把恶意链接堂而皇之地嵌进去。由于第一个跳转地址货真价实属于微软那些基于域名信誉放行的安全邮件网关会毫不犹豫地绿灯通行。真正的杀招藏在按钮之后。用户点击下载参考的一瞬间浏览器会跳转到攻击者完全控制的页面。这个页面在放出任东西之前先做一轮细致入微的背景调查操作系统类型、浏览器版本、屏幕尺寸、用户代理字符串、自动化访问特征等一个不落。其中一个变体甚至只允许 Windows 桌面系统通过同时把微软自家的网络或来源不明的 ISP 直接过滤掉——没能通过检查的访客会被悄悄重定向到无关网站。更巧妙的是受害者的 IP 地址、地理位置、浏览器信息和下载行为会被一股脑发送给一个预设好的 Telegram 机器人。这一系列操作的目的只有一个把自动化扫描器、沙箱环境、安全研究人员的流量挡在门外让真正的肥羊走进屠宰场。短暂延迟之后页面上的 JavaScript 悄悄触发一个隐藏的下载链接同时在屏幕上弹出一条看似无害的提示推荐验证表单下载成功。值得注意的是安装程序进入下载文件夹并不等于系统已被攻陷真正的危险发生在用户运行它的那一刻。这个名为 ScreenConnect.ClientSetup.exe 的安装程序来自一个被反复使用的 ScreenConnect 租户各变体仅更换访客访问参数如 ILEAYEASAN、PERFECTO、PAPASUPE 等令牌很可能是按诱饵分别追踪。ScreenConnect 本身是正规合法的远程支持软件可一旦被安装到攻击者控制的租户下就成了任人为所欲为的远控客户端。Huntress 的分析显示第一个恶意客户端会连接 ScreenConnect 中继服务器建立通道随后还会悄悄安装第二个客户端对接另一套完全独立的攻击者基础设施——onthegotree.site。这就是典型的冗余远控策略哪怕防御者拔掉一条通道另一条依然能让攻击者稳坐钓鱼台。在其中一起事件中第一个客户端执行了一个命令文件从临时目录释放出 PowerShell 脚本下载并运行第二个安装程序然后反手把第一个 ScreenConnect 实例卸载干净。Huntress 评估认为这种自我了断的行为极可能是为了消除痕迹、躲避检测。攻击者还动用了名为 HideUL_x64.exe 的工具专门向用户和安全软件隐藏活动痕迹更有一个被命名为 SCAutoRepairEvery2Min 的计划任务每两分钟自动运行一次修复脚本直到 Huntress 安全运营中心介入才终止攻击。值得留意的是回溯性调查的另一项发现与本次攻击中某个 RMM 相关联的 ScreenConnect 客户端和配置在其他彼此独立的事件中还波及了另外 22 个终端节点。虽然这不能证明它们都属于同一活动但足以说明这套手法正在批量复用。目前报告未指明具体威胁组织也未证实发生数据窃取已确认的核心危害是传播链与持久化远程访问。对防御方而言这件事最关键的启示在于所有权问题同一份远程支持软件握在可信服务商手里是工具握在陌生攻击者手里就是武器。Huntress 给出的建议务实而具体——重新审视针对可信云链接的钓鱼防护策略监控任何计划之外的 ScreenConnect 安装把远程管理工具严格限制在已批准的实例范围内同时重点排查同一终端出现多个 RMM 客户端、异常脚本执行、以及新建计划任务等信号结合下载、执行与出站流量的完整链条区分正常技术支持与攻击者的越权访问。以下入侵指标IoC可供安全团队参考IP 与域名已做防解析处理请在受控的威胁情报平台中还原使用初始客户端 ScreenConnect.ClientService.exeSHA-256 为 5956f9afb3ba610c38b2cfda88dd15be98783963769a12020c93ce05e749b3c3次要客户端 SHA-256 为 f048400c23add8c75abe189393d33c873c02c74eeaf43d47b950c8d643763b35。初始实例客户 ID 为 2b302081e9e777d0辅助实例客户 ID 为 43773b3da4ccb17b。涉及文件包括 ScreenConnect.ClientSetup.exe、LyN03DvVjUKPrun.cmd、HideUL_x64.exe脚本 SCAutoFix.ps1计划任务 SCAutoRepairEvery2Min。已知诱饵 URL 为 app[.]powerbi[.]com 的公开视图链接中转页面包括 dailylifeproject[.]site、burnsworth[.]site、essaywritingservice[.]site、openpediatrics[.]site 及其 main.html 变体失败重定向指向 check.vykyn[.]click。安装程序托管于 hamham27[.]screenconnect[.]com初始中继域为 instance-g01s1n-relay[.]screenconnect[.]com二级基础设施为 onthegotree[.]site安装路径可见 C:\Temp\ScreenConnect.ClientSetup.msi。当可信域名本身成为攻击载体传统的看地址识钓鱼经验正在失效。这场 Power BI 钓鱼战役提醒我们在点击任何下载参考按钮之前多一次确认可能就是挡住永久远控的最后一道闸门。
阅读完成 · 觉得有帮助？
