Lühidalt: Operatsioon BlueDash kasutab võltsitud Teamsi uuendusi, et paigaldada Level RMM ja ConnectWise ScreenConnect ning luua topelt kaugjuurdepääsuteed.
ZeroBECi turvateadlased dokumenteerisid aktiivse andmepüügikampaania, kus ründajad võltsitud Microsoft Teamsi uuenduste abil paigaldavad ettevõtete süsteemidesse kaks kaughaldustööriista. Infrastruktuur on seostatud Nigeeria päritolu rühmitusega.
Operatsioonis BlueDash suunavad ründajad kasutajad kompromiteeritud veebiinfrastruktuuride kaudu võltsitud Microsofti poe lehele domeenil teamvem.com. Leht väidab, et Microsoft Teamsi tarkvarauuendus on väidetavalt jagatud dokumendi avamiseks vajalik. Failina supportdev.exe alla laaditud programm käivitab PowerShelli abil taustal Level RMM kaughaldustööriista paigalduse ja registreerib süsteemi omaenda võtmega. Paralleelselt paigaldavad ründajad ConnectWise ScreenConnecti, et luua täiendav kaugjuurdepääsu mehhanism.
Pärast edukat paigaldust viivad ründajad läbi süstemaatilise luure: nad kontrollivad süsteemi olekut, aktiivseid tulemüüriprofiile, kõvaketta krüpteerimise olekut ning kohaliku administraatorirühma liikmeid. ZeroBEC kirjeldab seda järjestust kui „ründaja praktilist kontroll-loendit” – luurefaasi, mis määrab eesmärgi ja edasise tegevuse valiku.
Kampaania infrastruktuur on dokumenteeritud GitHubis konto berry4603 all ning selle jälgi saab tuvastada kuni 2026. aasta veebruarini. Täiendav hoidla nimega rustovni kasutab Tactical RMM-i paigaldamiseks võltsitud Zoomi kutseid. ZeroBEC seostab rünnakud keskmise kuni suure tõenäosusega Nigeerias asuva rühmitusega.
Samal uurimisperioodil dokumenteeris ZeroBEC ka andmepüügikomplekti JIVS, mida on alates 2025. aasta augustist kasutatud ettevõtete e-kirjadest sisselogimisandmete varastamiseks. Komplekt on suunatud üldiselt Microsoft 365, Google Workspace’i ja teiste veebipõhiste e-posti pakkujate vastu, kasutades võltsitud sisselogimislehti domeenil corychase.org. Paralleelselt teatasid Saksamaa ametiasutused koostöös USA ja Indoneesiaga andmepüügiteenuse Kratos likvideerimisest. Teenus registreeris igakuiselt umbes 15 000 andmepüügikampaaniat ja on alates 2024. aastast teeninud üle 300 000 euro suurust tulu.
Allikas: www.it-daily.net · Avaldatud 28. juuli 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.7.3 abil.