Chiến dịch Operation BlueDash lừa cập nhật Teams/Zoom để cài Level RMM và ScreenConnect
"Researchers reported Operation BlueDash, a phishing campaign that uses fake Microsoft Teams and Zoom update lures to deploy legitimate remote monitoring and management tools, including Level RMM, ConnectWise ScreenConnect, and Tactical RMM. The attack chain uses a hidden PowerShell loader to install and register the tools with attacker-controlled secrets, enabling persistent remote access and post-compromise reconnaissance on Windows hosts; no CVE is cited in the report."
Tấn công hướng tới remote access bền vững bằng cách cài Level RMM và ConnectWise ScreenConnect thông qua loader PowerShell ẩn, sau đó thực hiện trinh sát hệ thống. Enrolment secret do kẻ tấn công kiểm soát làm tăng khả năng chiếm quyền lâu dài và khó phát hiện nếu chỉ dựa vào dấu hiệu cài đặt đơn lẻ.
Nguy cơ gián đoạn vận hành và tăng chi phí xử lý sự cố do khả năng thiết lập truy cập từ xa dự phòng và mở rộng phạm vi hậu xâm nhập. Việc triển khai nhiều công cụ RMM trên cùng host có thể làm tăng thời gian điều tra, khoanh vùng và khôi phục.
Các nhà nghiên cứu cảnh báo Operation BlueDash là một chiến dịch phishing theo chủ đề Microsoft Teams và Zoom nhằm dẫn nạn nhân đến trang giả mạo “cập nhật” trước khi mở “tài liệu dùng chung”. Theo báo cáo của ZeroBEC, nạn nhân được chuyển qua hạ tầng web bị xâm nhập tới trang giả mạo Microsoft Store tại teamvem[.]com.
Từ trang lừa, kẻ tấn công tải xuống supportdev.exe (loader dựa trên Inno Setup) để khởi chạy PowerShell ẩn, sau đó tải bộ cài Level RMM chính hãng và đăng ký endpoint bằng enrollment secret do kẻ tấn công kiểm soát (LEVEL_API_KEY=GxSCHE8EZwfyYN3iPQHPai8D). Cùng một lệnh PowerShell cũng được dùng để triển khai ConnectWise ScreenConnect song song, cho thấy mục tiêu thiết lập truy cập từ xa bền vững và tăng khả năng sống sót khi một công cụ bị phát hiện.
Trên Windows, nhóm tấn công tiếp tục thực hiện trinh sát như kiểm tra trạng thái cần khởi động lại, cấu hình firewall, và liệt kê nhóm Administrators cục bộ. ZeroBEC cũng ghi nhận hạ tầng liên quan như support[.]berrydev[.]xyz và GitHub Pages berry4603.github[.]io.
Khuyến nghị: siết chặt kiểm soát email/web, giám sát hành vi PowerShell ẩn và các tiến trình đăng ký RMM bất thường, đồng thời rà soát cấu hình quản trị từ xa và cảnh báo khi có cài đặt/đăng ký ngoài quy trình IT được phê duyệt.