Thought Leadership
Sicherheitsforscher entlarven die Kampagne Operation BlueDash. Angreifer nutzen gefälschte Teams-Updates, um RMM-Tools zur Fernwartung zu installieren.
Sicherheitsforscher des E-Mail-Sicherheitsunternehmens ZeroBEC haben eine aktive Phishing-Kampagne unter dem Namen Operation BlueDash analysiert. Die Angreifer leiten Opfer über kompromittierte Web-Infrastrukturen auf eine gefälschte Microsoft-Store-Seite unter der Domäne teamvem.com. Dort wird vorgegeben, dass eine Aktualisierung der Software Microsoft Teams erforderlich sei, um ein freigegebenes Dokument zu öffnen. Die heruntergeladene Datei supportdev.exe startet über PowerShell im Hintergrund die Installation der Fernwartungssoftware Level RMM und registriert das System mit einem eigenen Schlüssel. Parallel dazu laden die Angreifer das Fernwartungswerkzeug ConnectWise ScreenConnect herunter, um einen redundanten Fernzugriff auf das Zielsystem einzurichten.
Systemausspähung und weitere Täuschungsmuster
Nach der Installation führen die Angreifer Befehle aus, um den Systemstatus, aktive Firewall-Profile, den Status der Festplattenverschlüsselung sowie die Mitglieder der lokalen Administratorgruppe zu überprüfen. ZeroBEC kommentierte dieses Vorgehen wie folgt:
„Diese Sequenz deutet auf eine praktische Checkliste des Angreifers hin: Bestimmung des Systemstatus, Erfassung des Verschlüsselungs- und Firewall-Status sowie Identifizierung privilegierter lokaler Benutzer, bevor über das weitere Vorgehen entschieden wird.“
ZeroBEC
Die Infrastruktur der Kampagne ist auf GitHub unter dem Konto berry4603 dokumentiert und lässt sich bis Februar 2026 zurückverfolgen. Über ein weiteres Repository namens rustovni nutzten die Angreifer gefälschte Einladungen zu Zoom-Meetings, um die Fernwartungssoftware Tactical RMM zu installieren. ZeroBEC schreibt die Angriffe mit mittlerer bis hoher Wahrscheinlichkeit einer in Nigeria ansässigen Gruppe zu.
Verwandte Phishing-Kits und behördliche Zerschlagung
Im Rahmen der Untersuchung dokumentierte ZeroBEC zudem das Phishing-Kit JIVS, das seit August 2025 für den Diebstahl von Anmeldedaten aus Unternehmens-E-Mails genutzt wird. Das Kit richtet sich generisch gegen Zugänge von Microsoft 365, Google Workspace und anderen Webmail-Anbietern über gefälschte Login-Seiten auf corychase.org.
Parallel dazu meldeten deutsche Behörden in Zusammenarbeit mit den USA und Indonesien die Zerschlagung des Phishing-as-a-Service-Dienstes Kratos, früher bekannt als Sneaky 2FA. Der Dienst verzeichnete monatlich rund 15.000 Phishing-Kampagnen und generierte seit 2024 Einnahmen von mehr als 300.000 Euro. Der mutmaßliche Entwickler und Administrator wurde festgenommen.
(red)
