Investigadores detetaram uma nova campanha de phishing que utiliza dashboards públicos do Microsoft Power BI para distribuir software de acesso remoto.
Uma nova campanha de phishing foi identificada por investigadores de segurança da Huntress, utilizando uma plataforma legítima da Microsoft para contornar filtros de segurança e enganar utilizadores. O ataque recorre a dashboards públicos do Microsoft Power BI, a ferramenta de análise de dados e visualização da empresa, para distribuir software de monitorização e gestão remota (RMM) conhecido como ScreenConnect.
Como funciona o ataque
A campanha, que terá tido início por volta de 10 de setembro de 2026, baseia-se na criação de dashboards públicos, provavelmente através de contas Microsoft comprometidas ou descartáveis. O dashboard é desenhado para apresentar uma imagem de um documento desfocado, acompanhado por um botão com a indicação "Download Reference".
Ao clicar no botão, o utilizador é redirecionado para um site controlado pelos atacantes, fora da infraestrutura da Microsoft, onde é iniciado o descarregamento automático do ScreenConnect. Embora o ScreenConnect seja uma ferramenta legítima desenvolvida pela ConnectWise para suporte técnico, a sua instalação em dispositivos não autorizados permite aos atacantes obter acesso persistente e remoto aos sistemas das vítimas.
Estratégia de persistência
O que torna esta campanha particularmente preocupante é o comportamento observado após a infeção inicial. Os atacantes foram vistos a implementar múltiplas instâncias do ScreenConnect e a configurar tarefas agendadas para executar scripts PowerShell. Em alguns casos, a primeira instância instalada foi apagada, sugerindo uma tentativa de manter o acesso remoto de forma duradoura e dificultar a deteção por parte de equipas de segurança.
Recomendações de segurança
A utilização de serviços legítimos como o Power BI permite que estes e-mails de phishing evitem frequentemente os filtros de segurança tradicionais, uma vez que os links apontam para domínios fidedignos da Microsoft. Para os utilizadores em Portugal e empresas, a recomendação é manter um elevado nível de ceticismo perante e-mails inesperados que solicitem o desbloqueio ou descarregamento de documentos, mesmo que estes pareçam provir de serviços conhecidos.
Até ao momento, os investigadores não confirmaram o objetivo final da campanha, que poderá variar entre o roubo de dados, a implementação de ransomware ou fraude financeira.
Fontes
Antes de comprares, compara no AHT Scan
Vê preços em várias lojas, promoções e histórico observado num único lugar.
Novo malware Hirudo infeta Android ao substituir apps bancárias legítimas
Google Cloud antecipa cibersegurança em 2027 com foco em agentes autónomos e integridade de decisões
Git: 6 vulnerabilidades de segurança corrigidas. Atualize agora