https://cyberveille.ch/tags/scautofix.ps1/ Recent content in SCAutoFix.ps1 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Wed, 07 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-07-campagne-de-phishing-abuse-microsoft-power-bi-pour-deployer-des-rmm-screenconnect-malveillants/ Wed, 07 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-07-campagne-de-phishing-abuse-microsoft-power-bi-pour-deployer-des-rmm-screenconnect-malveillants/ <h2 id="-contexte">🎯 Contexte</h2> <p>Cet article publié le 7 octobre 2026 par Huntress (blog.huntress.com) documente une <strong>campagne de phishing</strong> observée à partir du 10 septembre 2026, ciblant plusieurs endpoints via l&rsquo;abus de la plateforme légitime <strong>Microsoft Power BI</strong>.</p> <h2 id="-chaîne-dattaque">🔗 Chaîne d&rsquo;attaque</h2> <p>L&rsquo;attaque se déroule en plusieurs étapes :</p> <ol> <li><strong>Email de phishing</strong> envoyé via Outlook contenant un lien vers un faux document hébergé sur <code>app.powerbi.com</code> (domaine légitime Microsoft).</li> <li>La page Power BI affiche un formulaire flou et invite la victime à cliquer sur <strong>&ldquo;Download Reference&rdquo;</strong>.</li> <li>Un nouvel onglet s&rsquo;ouvre vers un site contrôlé par l&rsquo;attaquant (<code>dailylifeproject[.]site/S/</code> ou variantes), qui effectue un <strong>fingerprinting</strong> de l&rsquo;environnement (OS, navigateur, IP, géolocalisation, cookies cloud, indicateurs d&rsquo;automatisation).</li> <li>Les données collectées sont <strong>exfiltrées vers un bot Telegram</strong> via une API hardcodée dans le code JavaScript.</li> <li>Après quelques secondes, un script déclenche automatiquement le téléchargement d&rsquo;un <strong>installeur ScreenConnect malveillant</strong> depuis <code>hamham27[.]screenconnect[.]com</code>.</li> </ol> <h2 id="-persistance-et-évasion">🛠️ Persistance et évasion</h2> <ul> <li><strong>Deux clients ScreenConnect frauduleux</strong> sont déployés : le premier (<code>2b302081e9e777d0</code>) connecté à <code>instance-g01s1n-relay[.]screenconnect[.]com</code>, le second (<code>43773b3da4ccb17b</code>) connecté à <code>onthegotree[.]site</code>.</li> <li>Un fichier CMD malveillant (<code>LyN03DvVjUKPrun.cmd</code>) exécute un script PowerShell (<code>SCAutoFix.ps1</code>) depuis le répertoire temp.</li> <li>Une <strong>tâche planifiée</strong> (<code>SCAutoRepairEvery2Min</code>) relance <code>SCAutoFix.ps1</code> toutes les deux minutes.</li> <li>L&rsquo;outil <strong><code>HideUL_x64.exe</code></strong> est exécuté comme outil d&rsquo;évasion de défense pour masquer l&rsquo;activité.</li> <li>Le premier client ScreenConnect est désinstallé après déploiement du second, pour réduire la visibilité.</li> </ul> <h2 id="-portée">📊 Portée</h2> <ul> <li>La campagne a touché plusieurs endpoints distincts à partir du 10 septembre 2026.</li> <li>Une chasse rétroactive a révélé que la configuration ScreenConnect associée à l&rsquo;un des RMM a également impacté <strong>22 autres endpoints</strong> dans des incidents séparés.</li> </ul> <h2 id="-nature-de-larticle">📄 Nature de l&rsquo;article</h2> <p>Il s&rsquo;agit d&rsquo;une <strong>analyse technique détaillée</strong> publiée par Huntress, accompagnée d&rsquo;une liste complète d&rsquo;IOCs, visant à documenter la campagne et fournir des indicateurs exploitables aux équipes de sécurité.</p>