Фишинговая кампания BlueDash маскирует загрузки под Microsoft Teams

Operation BlueDash, активная как минимум с февраля 2026 года, использует клоны страниц Microsoft Store для Windows 11, которые имитируют Microsoft Teams. Фишинговые страницы распространяют инструменты удалённого управления, а вредоносные нагрузки устанавливают Level RMM или ConnectWise ScreenConnect. Это предоставляет операторам постоянный удалённый доступ через легитимное программное обеспечение для удалённого администрирования.

Клоны Microsoft Store и скрытая загрузка

Фишинговые страницы в точности копируют легитимную запись Teams. JavaScript имитирует процесс установки, а затем незаметно активирует скрытую ссылку для загрузки исполняемого файла, ZIP-архива или ISO-образа. Анализ заголовков страниц выявил ещё пять хостов, использующих тот же фишинговый набор.

Кампания вышла за пределы приманок, стилизованных под Teams. В ней появились страницы, оформленные под Zoom и Adobe Reader. Образцы, связанные с Teams и Adobe, использовали Level RMM версии 2.5.0.67, но содержали разные идентификаторы организаций. По оценке исследователей, это указывает на отдельные тенанты или учётные записи RMM. Имя файла одного из установщиков Teams также раскрыло версию Level RMM, идентификатор организации и идентификатор сборки или сессии.

Варианты доставки различаются по типу полезной нагрузки:

распространяют ISO-образ с установщиком Level RMM;
доставляют исполняемый файл напрямую;
загружают MSI-файл ScreenConnect через цепочку на основе VBScript.

Приманка Adobe использует имя файла, основанное на конвенции именования установщика Level RMM. Windows автоматически монтирует ISO-образы. Файлы, извлечённые или запущенные со смонтированного образа, могут не наследовать идентификатор зоны Zone.Identifier, который браузер применяет к загружаемым файлам. Это снижает количество предупреждений SmartScreen.

Цепочка доставки приманки Zoom

Приманка Zoom использует более сложную цепочку доставки на основе VBScript. Скрипт вызывает PowerShell, чтобы удалить альтернативный поток данных Zone.Identifier из собственного файла. Это помогает обходить защиту Mark-of-the-Web.

Затем скрипт перезапускает себя через функцию Shell.Application.ShellExecute с глаголом runas и запрашивает повышение привилегий через UAC. Исходный процесс без повышенных привилегий после этого завершает работу.

Экземпляр скрипта с повышенными привилегиями загружает MSI-файл ScreenConnect из общедоступного хранилища Cloudflare R2 и устанавливает его в скрытом режиме. Полученный клиент подключается к инфраструктуре управления злоумышленников.