据TechRadar报道，安全研究机构Huntress发现，攻击者自2026年9月10日前后开始利用可公开访问的微软Power BI仪表盘，伪装成模糊文档，诱导受害者下载名为ScreenConnect的远程监控与管理软件。研究人员称，这一活动已能建立持久远程访问，但攻击最终目的尚不明确。
Power BI是微软的商业智能与数据可视化平台，用户可创建图表、报告和仪表盘，并在线发布或私下共享。Huntress说，攻击者可能使用一次性微软账户或遭入侵的账户创建了公共仪表盘，仪表盘被设计成模糊文档样式，并带有“Download Reference”按钮。这种模糊文档手法常见于钓鱼邮件，DocuSign、Dropbox乃至Office 365等服务也曾被类似方式滥用。受害者被要求点击链接以解锁或取消模糊，有时被要求下载“高级版”或“更新版”文档阅读器，有时被要求使用Office或Google凭据登录。点击“Download Reference”后，受害者会被重定向到微软基础设施之外由攻击者控制的网站，自动下载随即启动。
ScreenConnect本身并非恶意软件。它是ConnectWise开发的合法远程访问与支持工具，用于帮助IT人员远程管理设备，可连接互联网上的其他设备、排查故障、传输文件和安装软件。一旦安装并连接到攻击者控制的端点，ScreenConnect就能提供持久远程访问。
研究人员没有说明钓鱼邮件如何投递，但由于邮件包含指向合法微软服务的链接，它们很可能至少绕过部分邮件过滤器进入收件箱。这或许也是攻击者使用Power BI的原因之一，因为该服务并不常被以这种方式滥用。更受关注的是，在部署一个ScreenConnect实例后，攻击者又部署了第二个实例，并配置计划任务反复执行PowerShell脚本。至少在一例事件中，他们还删除了第一个实例。研究人员尚不清楚其动机，推测可能是为了建立可靠、持久的远程访问，同时让活动更难被发现和中断。如果防御者发现并清除一个恶意ScreenConnect安装，第二个仍可能继续可用。
Huntress在观察到攻击进展到建立远程访问阶段后将其阻断，因此无法确定攻击目标是窃取数据、部署勒索软件还是实施金融欺诈。但研究人员说，凭借两个ScreenConnect实例，攻击者能够在企业网络内建立持久据点，后续可用于间谍活动、数据窃取、勒索软件或其他以经济利益为目的的攻击。防范此类攻击的通用做法是对收到的邮件保持高度怀疑，尤其是包含“锁定”文档链接的邮件，以及对最终导致ScreenConnect部署的邮件更要警惕。