Forschende des Unternehmens ZeroBEC haben Details offengelegt zur Phishing-Kampagne Operation BlueDash, in der Angreifer gefälschte Aktualisierungsseiten für Microsoft Teams nutzen, um legitime Remote Monitoring and Management (RMM)-Tools auszuliefern. Opfer werden über kompromittierte Web-Infrastruktur auf eine gefälschte Microsoft-Store-Seite umgeleitet, wo ihnen mitgeteilt wird, sie müssten Teams aktualisieren, bevor sie ein „geschütztes Dokument“ öffnen können. Die Kampagne stellt eine Bedrohung für Organisationen jeder Größe dar, da sie legitime Software für den dauerhaften Remotezugriff missbraucht, was die Erkennung durch Standard-Sicherheitslösungen erschwert.
Technische Angriffskette
Nach Angaben der Forschenden ist die gefälschte Teams-Seite auf der Domain teamvem[.]com gehostet. Bei der Interaktion mit ihr wird die Datei supportdev.exe heruntergeladen – ein auf Inno Setup basierender Loader, der PowerShell in einem versteckten Fenster startet. Das Skript lädt den offiziellen Installer von Level RMM herunter und registriert den kompromittierten Endpunkt mithilfe eines von den Angreifern kontrollierten Registrierungsschlüssels (LEVEL_API_KEY=GxSCHE8EZwfyYN3iPQHPai8D).
Wie berichtet, lädt und installiert dasselbe PowerShell-Skript parallel ConnectWise ScreenConnect. Die Bereitstellung mehrerer RMM-Tools auf einem Host zielt nach Einschätzung von ZeroBEC darauf ab, redundante Zugriffskanäle zu schaffen: Wird ein Tool entdeckt und entfernt, bleibt das zweite weiterhin funktionsfähig.
Nach der Installation der RMM-Agenten führen die Operatoren eine Reihe von Aufklärungskommandos aus:
- Überprüfung, ob ein Systemneustart aussteht
- Ermittlung des Schutzstatus des Systemvolumes (Verschlüsselung)
- Auflistung aktiver Firewall-Profile
- Identifizierung der Mitglieder der lokalen Gruppe „Administratoren“ und ihres Namens
Die Forschenden merken an, dass diese Abfolge an eine Art „Operator-Checkliste“ erinnert: den Systemzustand erfassen, die Verschlüsselung und die Firewall-Konfiguration beurteilen, privilegierte Nutzer identifizieren – und erst danach über das weitere Vorgehen entscheiden.
Infrastruktur und Multimarken-Ansatz
Die Analyse der Angreiferinfrastruktur brachte die Domain support[.]berrydev[.]xyz zutage, die mit der GitHub-Pages-Domain berry4603.github[.]io und dem Repository Bluedashltd verknüpft ist. Dieses Repository enthält den Quellcode der Phishing-Seiten, die CNAME-Konfiguration und die SupportDev-Nutzlast. Laut Commit-Historie ist die Kampagne mindestens seit Februar 2026 aktiv, als das Repository mit der gefälschten Microsoft-Store-Seite erstellt wurde.
Ein zweites Repository (rustovniZoom sowie Komponenten zur Auslieferung der Nutzlast. In dieser Variante wird ein Tactical RMM-Agent aus einem offiziellen GitHub-Release heruntergeladen, in das temporäre Windows-Verzeichnis installiert und registriert den Host mithilfe eines eingebetteten Authentifizierungs-Tokens.
Das Vorhandensein von Varianten mit unterschiedlichen Ködern (Teams, Zoom) und verschiedenen RMM-Plattformen (Level RMM, ScreenConnect, Tactical RMM) weist auf ein Multimarken-Schema hin: Der Kern der Operation bleibt unverändert, lediglich die Unternehmensanwendung als Köder, der Host zur Auslieferung der Nutzlast und die Remote-Management-Plattform werden ausgetauscht.
Indikatoren einer Kompromittierung
- Domains: teamvem[.]com, support[.]berrydev[.]xyz, berry4603.github[.]io
- Datei: supportdev.exe (Inno-Setup-Loader)
- Registrierungsschlüssel: LEVEL_API_KEY=GxSCHE8EZwfyYN3iPQHPai8D
Kontext: Trend des Missbrauchs von RMM-Tools
Operation BlueDash fügt sich in den anhaltenden Trend ein, legitime Remote-Management-Tools als Backdoors zu nutzen. Bereits im Mai 2026 hat ZeroBEC eine ähnliche Kampagne dokumentiert, in der Phishing-Mails zu „geschützten Dokumenten“ führten, die eine verdeckte Installation von RMM-Backdoors auslösten. Die Attraktivität dieses Ansatzes für Angreifende liegt auf der Hand: Legitime Software mit gültigen digitalen Signaturen wird von Antivirenlösungen selten blockiert, und RMM-Agenten ermöglichen vollwertigen Remotezugriff mit Dateiübertragung, Befehlsausführung und Fernsteuerung des Desktops.
JIVS PhishKit: parallele Bedrohung
Parallel zu Operation BlueDash hat ZeroBEC die Kampagne JIVS PhishKit beschrieben – einen koordinierten Angriff zur Sammlung von Anmeldedaten für Unternehmens-E-Mail, der auf mehrere Nutzer innerhalb derselben Organisation abzielt. Kennzeichnend für dieses Kit ist eine universelle Phishing-Seite, die Anmeldemasken von Microsoft 365, Google Workspace, cPanel, Roundcube, Zimbra und anderen Mail-Systemen imitieren kann. Statt eines Klons eines bestimmten Providers wird ein verallgemeinertes Formular „Session Expired“ verwendet.
Die Phishing-Nachrichten wurden von einem authentifizierten, aber nicht mit der Organisation verbundenen externen Absender verschickt, warnten vor einem „Policy-Verstoß“ des Postfachs und leiteten auf eine PHP-Seite unter der Domain corychase[.]org weiter. Das Kit sammelt lediglich die Adresse der Unternehmens-E-Mail und das Passwort – ohne Abgriff von Sitzungs-Cookies, OAuth-Tokens, MFA-Codes oder Browser-Sitzungsdaten. Das früheste Artefakt der Kampagne ist auf den 21. August 2025 datiert.
Empfehlungen zum Schutz
- Kontrolle von RMM-Tools: Implementieren Sie eine Allowlisting-Policy für Anwendungen, die explizit festlegt, welche RMM-Plattformen in der Infrastruktur zulässig sind. Die Installation von Level RMM, Tactical RMM oder ScreenConnect außerhalb eines genehmigten IT-Prozesses sollte eine Warnung mit hoher Priorität auslösen.
- Monitoring von PowerShell: Aktivieren Sie Script Block Logging und überwachen Sie den Start von PowerShell im versteckten Modus (
-WindowStyle Hidden), insbesondere wenn der übergeordnete Prozess eine unbekannte ausführbare Datei ist. - Blockierung von IOCs: Fügen Sie die genannten Domains (teamvem[.]com, support[.]berrydev[.]xyz, berry4603.github[.]io, corychase[.]org) zu den Sperrlisten von DNS- und Proxy-Servern hinzu.
- Verhaltensbasierte Erkennung: Die Abfolge von Aufklärungskommandos (Überprüfung auf Neustart, Verschlüsselungsstatus, Firewall-Profile, Auflistung von Administratoren), ausgeführt im RMM-Kontext außerhalb eines genehmigten IT-Prozesses, ist ein verlässlicher verhaltensbasierter Indikator für eine Kompromittierung.
- Schulung der Mitarbeitenden: Informieren Sie das Personal darüber, dass Microsoft Teams über integrierte Mechanismen aktualisiert wird und niemals erfordert, Updates von externen Websites oder über den „Microsoft Store“ per Link aus einer E-Mail herunterzuladen.
- Schutz von Anmeldedaten: Stellen Sie im Kontext von JIVS PhishKit sicher, dass MFA für alle Unternehmens-E-Mail-Konten aktiviert ist – selbst bei Kompromittierung des Passworts wird so der Zugriff auf das Konto verhindert.
Organisationen sollten vorrangig ein Audit aller installierten RMM-Tools auf sämtlichen Endpunkten durchführen und diese mit der Liste freigegebener Software abgleichen. Jeder nicht autorisierte RMM-Agent ist ein potenzieller Indikator für eine Kompromittierung, der eine umgehende Untersuchung mit Isolierung des Hosts und Rotation der privilegierten Zugangsdaten auf dem betroffenen System erfordert.
