Auf den Punkt: Operation BlueDash nutzt gefälschte Teams-Updates zur Installation von Level RMM und ConnectWise ScreenConnect und richtet redundante Fernzugriffswege ein.
Sicherheitsforscher von ZeroBEC dokumentieren eine aktive Phishing-Kampagne, bei der Angreifer über gefälschte Microsoft-Teams-Updates zwei Fernwartungstools auf Unternehmenssysteme schleusen. Die Infrastruktur wird einer nigerianischen Gruppe zugeordnet.
In der Operation BlueDash leiten Angreifer Nutzer über kompromittierte Webinfrastrukturen auf eine gefälschte Microsoft-Store-Seite unter der Domäne teamvem.com. Die Seite täuscht vor, eine Softwareaktualisierung für Microsoft Teams sei erforderlich, um ein vermeintlich freigegebenes Dokument zu öffnen. Die als supportdev.exe heruntergeladene Datei startet via PowerShell im Hintergrund die Installation des Fernwartungstools Level RMM und registriert das System mit einem eigenen Schlüssel. Parallel installieren die Angreifer ConnectWise ScreenConnect, um einen zusätzlichen Fernzugriffsmechanismus zu etablieren.
Nach erfolgreicher Installation führen die Angreifer eine systematische Aufklärung durch: Sie überprüfen den Systemstatus, aktive Firewall-Profile, den Verschlüsselungsstatus der Festplatte und die Mitglieder der lokalen Administratorgruppe. Diese Sequenz dokumentiert ZeroBEC als „praktische Checkliste des Angreifers“ – eine Aufklärungsphase, die das Ziel und die Auswahl des weiteren Vorgehens bestimmt.
Die Kampagneninfrastruktur ist auf GitHub unter dem Konto berry4603 dokumentiert und lässt sich bis Februar 2026 zurückverfolgen. Ein zusätzliches Repository namens rustovni setzt auf gefälschte Zoom-Einladungen zur Installation von Tactical RMM. ZeroBEC ordnet die Angriffe mit mittlerer bis hoher Wahrscheinlichkeit einer in Nigeria ansässigen Gruppe zu.
Im selben Untersuchungszeitraum dokumentierte ZeroBEC das Phishing-Kit JIVS, das seit August 2025 für den Diebstahl von Anmeldedaten aus Unternehmens-E-Mails eingesetzt wird. Das Kit richtet sich generisch gegen Microsoft-365-, Google-Workspace- und weitere Webmail-Anbieter über gefälschte Login-Seiten auf corychase.org. Parallel meldeten deutsche Behörden in Zusammenarbeit mit den USA und Indonesien die Zerschlagung des Phishing-as-a-Service-Dienstes Kratos. Der Dienst verzeichnete monatlich rund 15.000 Phishing-Kampagnen und generierte seit 2024 Einnahmen von mehr als 300.000 Euro.
Quelle: www.it-daily.net · Erschienen 28. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.