NIGERIA / LONDON (IT BOLTWISE) – Eine Phishing-Kampagne mit Microsoft-Teams-Optik liefert über eine gefälschte „Microsoft Store“-Update-Seite gleich mehrere Remote-Monitoring-and-Management-Werkzeuge nach. Laut Analyse nutzt der Angreifer einen Loader, der PowerShell im Hintergrund startet, einen offiziellen Level-RMM-Installer nachlädt und das Gerät mit einem attacker-kontrollierten Enrollment-Secret registriert. Zusätzlich wird parallel ConnectWise ScreenConnect ausgerollt, um den Zugriff zu verdoppeln, falls ein Tool entdeckt oder entfernt wird. Für Sicherheitsverantwortliche wird damit vor allem relevant, dass die Folge-Kommandos aus einem nicht autorisierten RMM-Kontext stammen.
Unter dem Namen Operation BlueDash beschreiben Analysten eine Phishing-Kampagne, die nicht bei einem einzelnen „Payload“-Download stehen bleibt, sondern gezielt Remote Monitoring and Management (RMM)-Software in einem Schrittketten-ähnlichen Ablauf installiert. Ausgangspunkt ist eine Microsoft-Teams-getarnte Kommunikation: Nutzer sollen einen vermeintlich sicheren Dokument-Link öffnen, erhalten dabei aber den Umweg über eine kompromittierte Web-Infrastruktur und eine gefälschte Microsoft-Store-Seite, auf der ein „Update“ für Teams gefordert wird. Die Dublette ist dabei weniger auf ein exaktes Microsoft-Branding ausgerichtet als auf die funktionale Erwartung der Opfer – nämlich dass der nächste Klick eine legale Aktualisierung anstößt.
Technisch läuft die Infektionskette über eine Inno-Setup-basierte Loader-Komponente mit dem Dateinamen „supportdev.exe“. Dieser Loader startet anschließend PowerShell in einem versteckten Fenster, lädt danach einen offiziellen Level-RMM-Installer nach und registriert das Zielsystem über ein vom Angreifer kontrolliertes Enrollment-Secret. In der Analyse taucht dafür ein Beispiel-Schlüssel im Format „LEVEL_API_KEY=GxSCHE8EZwfyYN3iPQHPai8D“ auf. Genau dieser Mechanismus ist für Verteidiger besonders heikel: Er wirkt wie ein normaler Einbindeschritt eines Management-Clients, nur dass das Enrollment nicht aus dem freigegebenen Administrationsprozess heraus erfolgt, sondern aus der Phishing-Umgebung.
Die Kampagne setzt jedoch auf mehr als eine Remote-Steuerinstanz. Dieselbe PowerShell-Anweisung wird laut Bericht so eingesetzt, dass sie nicht nur Level RMM installiert, sondern parallel auch ConnectWise ScreenConnect ausliefert und damit mehrere RMM-Werkzeuge auf demselben Host kombiniert. Der Angriffszweck wird damit plausibler: Redundanz. Wenn ein einzeln eingesetztes Tool durch Endpoint-Schutz, Netzwerkregeln oder manuelle Entfernung auffällt, bleibt dem Angreifer dennoch ein alternatives Fernzugriffsvehikel erhalten. Für die Erkennung verschiebt sich dadurch der Fokus von „nur“ dem initialen Drop hin zu Mustern wie wiederholten Registrierungen, parallel initiierten Installer-Läufen und ungewöhnlichen Verbindungen aus dem Zeitfenster direkt nach dem vermeintlichen Dokument-Öffnen.
Nach dem Ausrollen beobachten die Analysen zudem ein Verhalten, das wie eine praktische Operator-Checkliste wirkt. Dabei geht es darum, ob ein System-Reset ansteht, ob Schutzmechanismen wie die Absicherung der Systempartition greifen, welche aktiven Firewall-Profile vorhanden sind und wie die lokale Benutzer- und Rechtebasis aussieht. Konkret werden unter anderem die Mitglieder der lokalen Administratorengruppe ermittelt und deren lokaler Gruppenname identifiziert. Das Muster passt zu einer Entscheidungslogik: erst Kontext über Systemzustand und Sicherheitsposition schaffen, dann festlegen, ob weitere Schritte lohnend sind – und vor allem, ob die nächste Phase auf privilegierten Zugriff aufbauen kann.
Historisch ist dieser Weg kein Einzelfall. Mehrere vorherige Kampagnen haben RMM-Tools ebenfalls als „Brücke“ genutzt, darunter Verfahren, die über Arbeitsplatz-Meeting-Lures und PDF-Anhänge signierte Malware bereitstellten und daraus wiederum ScreenConnect oder weitere RMM-Programme wie Tactical RMM und MeshAgent nachführten. Operational gesehen zeigt BlueDash damit eine reifere Variante des gleichen Grundprinzips: Der Angreifer macht aus einem harmlos wirkenden Unternehmens-Workflow eine autorisierte Fernzugriffsachse. Für Unternehmen bedeutet das, dass die reine Blockade einzelner Installer-Dateien zu kurz greift; stattdessen müssen Telemetriedaten aus Betriebssystem- und Toolkontext zusammengesetzt werden, insbesondere wenn PowerShell in ungewöhnlichen Fenstern/Prozessen oder aus der RMM-Lernphase heraus läuft.
Auch die Infrastrukturkomponente wirkt durchdacht. In der Auswertung wird eine GitHub-Pages-Domain („berry4603.github.io“) sowie ein Repository („Bluedashltd“) genannt, das die Phishing-Quellen, eine CNAME-Konfiguration und die SupportDev-Payload enthält. Die Commit-Historie legt nahe, dass die Kampagne mindestens seit Februar 2026 aktiv vorbereitet wurde, unter anderem mit der fake Microsoft-Store-Seite, die ein Teams-„Update“ nachstellt. Zusätzlich wird ein zweites Repository im selben GitHub-Umfeld („crustovni“) beschrieben, das ebenfalls über eine alternative Workplace-App als Lockmittel arbeitet: Im Beispiel geht es um ein Zoom-Thema, bei dem am Ende der Tactical-RMM-Agent aus einem offiziellen GitHub-Release bezogen und im Windows-Temporärverzeichnis installiert wird. Genau dieses Multi-Brand-Design soll die Kernmechanik unangreifbarer machen: Lockmittel, Payload-Host und Remote-Management-Plattform variieren, während die operative Kette intern konsistent bleibt.
Parallel ordnet die Veröffentlichung eine weitere Kampagne in denselben Lieferketten-Kosmos ein: JIVS PhishKit, eine mailbox-credential-harvesting Aktion, die auf eine Vielzahl von Zielidentitäten innerhalb derselben Organisation zielt. Dabei wird ein provider-agnostischer Ansatz beschrieben, der sich über eine generische „Session Expired“-Einstiegsmaske abwickeln lässt und so für Microsoft 365, Google Workspace und auch gehostete Webmail-Identitäten bis hin zu weiteren Systemen passen soll. Ausdrücklich heißt es, dass keine Sitzungscookies, OAuth-Tokens, MFA-Codes oder Browser-Sessions exfiltriert werden; stattdessen werden E-Mail-Adresse und Passwort aus der Eingabephase abgegriffen. Ergänzend wird auf den Kontext eines zuvor durch Behörden koordiniert angegangenen Phishing-as-a-Service-Kits verwiesen, das in der Szene offenbar weit verbreitet war; für Verteidiger unterstreicht das vor allem, dass RMM-Deployment und Credential-Theft oft denselben „Startvorteil“ nutzen: die Übernahme der Nutzerrolle, nicht nur das Ausnutzen eines einzelnen Softwarefehlers.
Für die Praxis lässt sich aus BlueDash vor allem ein Erkennungsmuster ableiten: Wenn Kommandos aus einem RMM-Kontext auf Betriebssystem- und Sicherheitsparameter zugreifen, die nicht zu einem freigegebenen IT-Workflow passen, entsteht ein harter Behavioral-Trigger. Die Veröffentlichung betont genau diesen Punkt: Defender sollen die Befehle an ihrem Ursprungskontext festmachen können – also daran, dass sie nach dem Phishing-Teaser und dem Loader-Start in einer Weise ablaufen, die nicht zur vorgesehenen Admin-Nutzung passt. Damit verschiebt sich das Monitoring weg vom „Tool-Namen“ hin zu Prozessketten, Authentifizierungs- und Enrollment-Routen sowie zu der Frage, ob ein Remote-Management-Client wirklich aus einer autorisierten Deployment-Policy heraus startet oder als Teil eines Tarnmanövers.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Operation BlueDash: Fake-Teams-Update installiert Level RMM und ScreenConnect" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Operation BlueDash: Fake-Teams-Update installiert Level RMM und ScreenConnect" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Operation BlueDash: Fake-Teams-Update installiert Level RMM und ScreenConnect« bei Google Deutschland suchen, bei Bing oder Google News!