در پدیده‌ای نگران‌کننده که از اواخر شهریور ۱۴۰۵ (سپتامبر ۲۰۲۶) شناسایی شده، مهاجمان سایبری با سوءاستفاده از سرویس‌های مشروع و قابل‌اعتماد مایکروسافت، نظیر Power BI، موفق شده‌اند فیلترهای امنیتی ایمیل را دور زده و کمپین‌های گسترده فیشینگ را با هدف استقرار دسترسی از راه دور (Remote Access) در شبکه سازمان‌ها اجرا کنند.
مکانیسم حمله: سوءاستفاده از اعتماد به دامین‌های معتبر
روش کار مهاجمان در این کمپین که توسط تیم امنیتی Huntress گزارش شده است، بر پایه بهره‌برداری از قابلیت‌های اشتراک‌گذاری عمومی (Public Dashboard) در پلتفرم Power BI استوار است. از آنجایی که دامنه اصلی مایکروسافت (microsoft.com) در لیست سفید اکثر فیلترهای اسپم و آنتی‌فیشینگ سازمانی قرار دارد، لینک‌های ارسالی به راحتی از لایه‌های امنیتی عبور کرده و مستقیماً در اینباکس کاربران فرود می‌آیند.
مهاجمان با ساخت داشبوردهای عمومی که ظاهر یک سند تار شده (Blurred Document) را شبیه‌سازی می‌کنند، کاربر را ترغیب می‌کنند تا برای مشاهده محتوای اصلی روی دکمه «Download Reference» کلیک کند. این ترفند که پیش‌تر در سرویس‌هایی مانند DocuSign و Dropbox مشاهده شده بود، اکنون با میزبانی در زیرساخت ابری مایکروسافت، ضریب موفقیت بسیار بالاتری پیدا کرده است.
استقرار نرم‌افزار RMM و ایجاد دسترسی مداوم
پس از کلیک کاربر روی لینک تعبیه شده در داشبورد Power BI، او به یک وب‌سایت تحت کنترل مهاجم منتقل می‌شود که فرآیند دانلود نرم‌افزار ScreenConnect را به صورت خودکار آغاز می‌کند. ScreenConnect یک ابزار مدیریت و مانیتورینگ از راه دور (RMM) کاملاً قانونی و توسعه‌یافته توسط شرکت ConnectWise است که برای تیم‌های IT جهت عیب‌یابی سیستم‌ها طراحی شده است. با این حال، در دست مهاجمان، این ابزار به یک بدافزار تغییر کاربری می‌دهد.
معماری پیچیده ماندگاری در سیستم (Persistence)
نکته فنی قابل‌تأمل در این حمله، تلاش مهاجمان برای تضمین پایداری دسترسی (Persistence) است. مشاهدات نشان می‌دهد که مهاجمان نه تنها یک نمونه از ScreenConnect را نصب می‌کنند، بلکه با ایجاد تسک‌های زمان‌بندی شده (Scheduled Tasks) و اجرای اسکریپت‌های PowerShell، نمونه‌های دوم را نیز مستقر کرده و در برخی موارد نمونه اولیه را حذف می‌کنند. این رویکرد به معنای آن است که حتی اگر تیم‌های امنیتی موفق به شناسایی و حذف یک نمونه مشکوک شوند، نمونه‌های پشتیبان همچنان دسترسی مهاجم را حفظ می‌کنند.
مشخصات فنی و تحلیل تهدید
- سرویس میزبان سوءاستفاده شده: Microsoft Power BI
- ابزار مورد استفاده برای دسترسی: ScreenConnect (Remote Monitoring & Management)
- روش فریب: شبیه‌سازی اسناد تار (Blurred Document Phishing)
- مکانیسم ثانویه: استفاده از PowerShell و Scheduled Tasks برای ایجاد Persistence
- هدف نهایی (بالقوه): باج‌افزار، سرقت داده‌های سازمانی یا جاسوسی سایبری
راهکارهای مقابله و توصیه‌های امنیتی
با توجه به اینکه این حمله از زیرساخت‌های قابل اعتماد استفاده می‌کند، تکیه صرف بر فیلترهای دامنه و IP کافی نیست. برای مقابله با این دست حملات، رویکردهای زیر پیشنهاد می‌شود:
- آموزش کاربران: افزایش هوشیاری نسبت به ایمیل‌هایی که درخواست باز کردن اسناد در سرویس‌های مبتنی بر ابری مانند Power BI یا اشتراک‌گذاری‌های ناآشنا را دارند.
- کنترل دسترسی خروجی: نظارت دقیق بر ترافیک شبکه جهت شناسایی ارتباطات غیرمعمول نرم‌افزارهای RMM با سرورهای خارجی.
- محدودیت‌های دسترسی: اعمال سیاست‌های حداقل دسترسی (Least Privilege) به کاربران برای نصب نرم‌افزار و اجرای اسکریپت‌های PowerShell.
- مانیتورینگ رفتاری: استفاده از ابزارهای EDR برای شناسایی رفتارهای غیرعادی مرتبط با نرم‌افزارهای مدیریت از راه دور.
اگرچه هنوز ماهیت دقیق هدف نهایی مهاجمان مشخص نشده است، اما استقرار دو مرحله‌ای دسترسی، نشان‌دهنده برنامه‌ریزی هدفمند برای نفوذ عمیق به شبکه سازمان‌ها و بسترسازی برای حملات تخریبی در آینده است.
