Điểm chính

  • Kẻ tấn công sử dụng nền tảng Microsoft Power BI hợp pháp để phát tán các liên kết độc hại.
  • Hệ thống trung gian kiểm tra môi trường thiết bị của nạn nhân trước khi tải mã độc ScreenConnect RMM.
  • Các chuyên gia khuyến nghị giám sát hành vi tiến trình và tăng cường bảo mật hệ thống thay vì chỉ dựa vào chữ ký.

Một chiến dịch tấn công lừa đảo trực tuyến tinh vi đang lạm dụng nền tảng Microsoft Power BI để phát tán các bản cài đặt ScreenConnect độc hại, nhằm duy trì quyền truy cập từ xa vào hệ thống Windows của nạn nhân.

Phương thức lợi dụng nền tảng uy tín

Thay vì khai thác các lỗ hổng phần mềm trực tiếp, chiến dịch này tập trung lợi dụng sự tin tưởng của người dùng vào các nền tảng kinh doanh phổ biến để làm bàn đạp phân phối phần mềm quản lý và giám sát từ xa (RMM). Theo ghi nhận từ các nhà nghiên cứu bảo mật tại Huntress, chiến dịch này xuất hiện từ giữa tháng 9 năm 2026. Kẻ xấu đã tạo ra các tài liệu tham khảo giả mạo được lưu trữ trực tiếp trên dịch vụ Power BI chính thống của Microsoft, giúp liên kết ban đầu có vẻ ngoài an toàn và dễ dàng vượt qua các bộ lọc bảo mật dựa trên danh tiếng tên miền.

Chuỗi lây nhiễm và kỹ thuật chuyển hướng

Quá trình tấn công bắt đầu bằng một email lừa đảo gửi qua ứng dụng Outlook. Khi người dùng nhấp vào liên kết trong email, họ sẽ được đưa tới một biểu mẫu tham khảo bị làm mờ trên giao diện Power BI, kèm theo nút bấm "Download Reference". Thao tác này không tải trực tiếp mã độc về máy mà chuyển hướng người dùng đến một trang web trung gian do kẻ tấn công kiểm soát.

Tại đây, trang web tiến hành kiểm tra các thông tin chi tiết về môi trường của nạn nhân như hệ điều hành, trình duyệt web, kích thước màn hình và thông tin User-Agent. Toàn bộ dữ liệu này, kết hợp cùng địa chỉ IP và vị trí địa lý, sẽ được chuyển tiếp về một bot Telegram. Nếu thiết bị vượt qua các bước kiểm tra này, mã lệnh JavaScript sẽ kích hoạt liên kết tải xuống ẩn, đồng thời hiển thị một thông báo giả mạo cho biết biểu mẫu đã được tải về thành công.

Thực thi mã độc và giải pháp phòng thủ

Sau khi được cài đặt, phần mềm ScreenConnect sẽ thiết lập kết nối ngược về hạ tầng của kẻ tấn công. Trong một số trường hợp, tin tặc sử dụng nhiều client ScreenConnect khác nhau; client đầu tiên thực thi tệp lệnh .cmd để chạy script PowerShell từ thư mục tạm, sau đó tải về client thứ hai và tự xóa dấu vết nhằm qua mắt các công cụ bảo mật.

Để ngăn chặn các cuộc tấn công dạng lạm dụng công cụ hợp pháp này, các trung tâm vận hành an ninh mạng (SOC) được khuyến cáo nên tập trung giám sát hành vi thay vì chỉ phụ thuộc vào nhận diện chữ ký mã độc. Quản trị viên cần chú ý kiểm soát các tiến trình RMM lạ, các đoạn mã PowerShell bất thường và những tác vụ định kỳ mới phát sinh trên hệ thống.