Operation BlueDash usa falsi Teams e Zoom per installare più RMM

🛡️ Executive Summary

• False condivisioni Teams e riunioni Zoom indirizzano le vittime verso pagine Microsoft Store contraffatte che distribuiscono aggiornamenti malevoli.
• I loader installano Level RMM, ScreenConnect o Tactical RMM, creando più canali persistenti di controllo remoto sullo stesso endpoint.
• Le aziende devono autorizzare esplicitamente prodotti, tenant e chiavi RMM, bloccando qualsiasi installazione non riconducibile ai propri amministratori.

Operation BlueDash è una campagna di phishing che imita documenti condivisi tramite Microsoft Teams e riunioni Zoom per convincere le vittime a installare falsi aggiornamenti delle applicazioni aziendali. I payload non distribuiscono una nuova famiglia malware, ma installano strumenti legittimi di remote monitoring and management come Level RMM, ScreenConnect e Tactical RMM, registrando silenziosamente il computer negli ambienti controllati dagli aggressori. La ridondanza consente agli operatori di conservare l’accesso anche quando uno dei prodotti viene rimosso. ZeroBEC ha inoltre ricostruito l’ambiente GitHub utilizzato per sviluppare le pagine di phishing e attribuisce l’operazione a un gruppo di sviluppatori attivo dalla Nigeria con confidenza medio-alta.

Una falsa condivisione Teams avvia l’attacco

La catena iniziale utilizza un’email nella quale il destinatario viene informato che un documento troppo grande per essere allegato è stato condiviso in modo sicuro attraverso Microsoft Teams. Il pulsante inserito nel messaggio conduce a un sito aziendale precedentemente compromesso, dal quale la vittima viene trasferita verso una pagina che riproduce l’aspetto del Microsoft Store. Il portale contraffatto mostra nome, logo, immagini e descrizione di Teams e sostiene che il programma debba essere aggiornato prima di aprire il documento. La richiesta appare compatibile con un normale flusso di lavoro: il dipendente ha ricevuto una condivisione, riconosce il marchio Microsoft e si trova davanti a una pagina che imita un ambiente familiare.

L’operazione non tenta quindi di sottrarre immediatamente la password, ma convince l’utente a eseguire un installer sul dispositivo aziendale. La tecnica sviluppa quanto già osservato nelle campagne condotte attraverso Microsoft Teams per distribuire la suite malware SNOW, nelle quali il valore del vettore deriva dalla fiducia associata alle comunicazioni professionali e non dalla complessità dell’allegato.

SupportDev installa Level RMM senza mostrare finestre

Il file distribuito dalla pagina malevola, denominato supportdev.exe, è un pacchetto Inno Setup che avvia PowerShell con finestra nascosta ed Execution Policy impostata su bypass. Lo script scarica dai server ufficiali del produttore l’installer MSI di Level RMM, lo salva nella directory temporanea e lo esegue silenziosamente attraverso msiexec.exe. La riga di comando contiene una chiave di enrollment controllata dagli aggressori, grazie alla quale il dispositivo viene registrato automaticamente nel loro ambiente Level senza richiedere all’utente di approvare una sessione o configurare manualmente il programma.

L’impiego del pacchetto autentico permette alla campagna di ereditare firma, reputazione e funzioni di un prodotto amministrativo legittimo, rendendo meno efficace una difesa che blocca soltanto malware conosciuti. Il principio è lo stesso sfruttato dalle false piattaforme freeware che installavano ScreenConnect e AsyncRAT: la vittima crede di ottenere il programma richiesto, mentre l’aggressore acquisisce un canale stabile per controllare il computer.

ScreenConnect crea un secondo accesso persistente

Lo stesso comando PowerShell tenta di installare in parallelo un client ScreenConnect, creando un secondo percorso di accesso remoto indipendente da Level RMM. Al momento dell’analisi l’endpoint ScreenConnect non risultava più operativo, mentre il sistema Level continuava a registrare i dispositivi di prova nell’ambiente degli attaccanti. La presenza simultanea di più prodotti è una scelta operativa precisa: rimuovere un agente, bloccare un dominio o disattivare una console non garantisce che l’endpoint sia stato liberato, perché un altro servizio può continuare a offrire accesso non presidiato.

Gli operatori non devono sviluppare protocolli C2, desktop remoto, trasferimento dei file o gestione dei servizi, poiché tutte queste capacità sono già disponibili nelle piattaforme RMM. La campagna Venomous Helper aveva adottato una strategia simile, utilizzando due strumenti di controllo remoto per conservare l’accesso ai sistemi aziendali. Operation BlueDash amplia il modello collegando la ridondanza alla rotazione delle esche, dei domini e degli installer utilizzati.

Gli operatori verificano BitLocker e privilegi locali

Dopo l’enrollment, ZeroBEC ha osservato comandi impartiti manualmente attraverso il canale RMM. Gli operatori hanno controllato se Windows fosse in attesa di un riavvio, esaminato lo stato di BitLocker, interrogato le configurazioni di Windows Firewall ed enumerato i membri del gruppo locale Administrators. Queste attività non servivano a completare l’installazione dell’agente e dimostrano una fase interattiva di valutazione del computer compromesso. Il controllo sul riavvio permette di capire se installazioni e persistenza rischiano di essere interrotte, mentre la verifica di BitLocker chiarisce se il disco sia cifrato e quali meccanismi di protezione siano configurati.

L’analisi del firewall indica quali profili risultino attivi e l’enumerazione degli amministratori aiuta a individuare utenti privilegiati da colpire o impersonare. L’operazione non appare quindi come una distribuzione completamente automatizzata: dopo la consegna del software, una persona esamina la postura dell’endpoint e decide come proseguire. Questa fase offre anche indicatori difensivi più affidabili dei singoli hash, perché una sequenza di comandi su BitLocker, firewall e gruppi amministrativi eseguita da un RMM non autorizzato difficilmente appartiene alla normale amministrazione.

Una seconda campagna imita Zoom e usa Tactical RMM

L’indagine ha collegato all’ambiente BlueDash anche un ramo dedicato a Zoom. La vittima visualizza una falsa pagina di riunione che dichiara obsoleto il client installato e la indirizza nuovamente verso una copia del Microsoft Store. Le prime versioni distribuivano eseguibili ospitati su Dropbox, GitHub o domini controllati dagli attaccanti, mentre una variante successiva consegnava ZoomInstallerSetup.js. Lo script JScript tenta di riavviarsi con privilegi elevati attraverso il verbo runas, scarica l’agente ufficiale di Tactical RMM da GitHub e lo registra su un server controllato dagli operatori mediante un token incorporato.

Il passaggio dall’eseguibile a JScript dimostra che il framework di social engineering può restare invariato mentre linguaggio, hosting e prodotto remoto vengono sostituiti. Teams e Zoom sono intercambiabili perché entrambi rappresentano strumenti aziendali dai quali gli utenti si aspettano aggiornamenti, inviti e problemi di compatibilità. Le precedenti campagne basate su falsi installer di Zoom, Cisco e ChatGPT avevano già dimostrato l’efficacia dell’imitazione, ma BlueDash integra il falso aggiornamento in un sistema continuativo di accesso remoto.

GitHub espone lo sviluppo dell’intera operazione

La risoluzione DNS di uno dei domini utilizzati per ospitare supportdev.exe ha condotto a un ambiente GitHub Pages e al repository pubblico che conteneva codice HTML delle pagine, configurazione CNAME, immagini, installer e cronologia delle modifiche. I commit mostrano che il progetto era stato avviato nel febbraio 2026 con una consegna diretta di ScreenConnect e successivamente modificato per introdurre SupportDev, Level RMM e il secondo canale remoto. Un altro repository collegato documentava lo sviluppo del ramo Zoom e il passaggio dagli eseguibili a Tactical RMM tramite JScript. La continuità delle modifiche, la gestione dei domini personalizzati e la presenza congiunta di sorgenti e payload indicano che GitHub non veniva utilizzato come semplice deposito occasionale, ma come ambiente di sviluppo e pubblicazione dell’operazione. ZeroBEC non ha rilevato elementi che facciano pensare alla compromissione di un repository legittimo e attribuisce l’attività a uno specifico gruppo di sviluppatori operante dalla Nigeria con confidenza medio-alta. La valutazione si basa sulla convergenza tra repository, contributori, infrastrutture e ulteriori elementi OSINT, ma non trasforma automaticamente ogni campagna RMM con esche Teams o Zoom in attività dello stesso gruppo.

La difesa deve autorizzare tenant e chiavi RMM

Bloccare genericamente Level, ScreenConnect o Tactical RMM può risultare impraticabile nelle aziende che utilizzano legittimamente questi strumenti per assistenza e gestione degli endpoint. La risposta deve partire da un inventario esplicito dei prodotti approvati, dei domini dei server, dei tenant, dei certificati, delle chiavi di enrollment e degli account autorizzati a installare agenti. Una nuova istanza RMM non associata agli amministratori interni deve generare un incidente anche quando il file possiede una firma valida e proviene dall’infrastruttura ufficiale del produttore. Sul lato endpoint occorre rilevare installer Inno Setup avviati dalla directory Download, PowerShell nascosto con Execution Policy Bypass, msiexec contenente parametri di enrollment, JScript eseguiti da wscript.exe e servizi RMM creati senza un ticket di distribuzione. Le regole applicative di Windows Defender Application Control, AppLocker o dell’EDR possono impedire l’installazione dei prodotti non autorizzati senza bloccare quelli aziendali. Quando viene scoperto un agente estraneo, il computer deve essere isolato e controllato per tutti i canali remoti installati, perché rimuovere il primo programma individuato potrebbe lasciare operativo il secondo.

BlueDash sfrutta software legittimo invece di creare un RAT

La ricostruzione tecnica di Operation BlueDash pubblicata da ZeroBEC mostra che la forza della campagna non dipende da una backdoor originale, ma dalla capacità di trasformare prodotti amministrativi affidabili in un’infrastruttura criminale ridondante. Teams e Zoom forniscono l’esca, i siti compromessi e le pagine Microsoft Store contraffatte costruiscono la credibilità, mentre Level, ScreenConnect e Tactical RMM garantiscono accesso persistente, trasferimento dei file ed esecuzione dei comandi. GitHub, Netlify, Dropbox e i server ufficiali dei produttori vengono utilizzati in fasi differenti, obbligando i difensori ad analizzare l’intera catena e non la reputazione del singolo dominio. La presenza di più RMM sullo stesso endpoint cambia anche la risposta all’incidente: ogni prodotto deve essere individuato, disinstallato e rimosso dal relativo tenant, mentre credenziali e sessioni utilizzate durante il periodo di controllo remoto devono essere considerate potenzialmente esposte. Operation BlueDash dimostra che un software perfettamente legittimo può svolgere tutte le funzioni di un RAT quando l’enrollment appartiene all’attaccante e non all’azienda.