Operation BlueDash implementa Level RMM y ScreenConnect a través de una actualización de equipos falsos – CYBERDEFENSA.MX
Los investigadores de ciberseguridad han señalado una campaña de phishing con el tema de Microsoft Teams que emplea señuelos de «documentos seguros» para ofrecer monitoreo y administración remotos legítimos (RMM) herramientas.
«La víctima fue dirigida a través de una infraestructura web comprometida a una página falsa de Microsoft Store que afirmaba que Microsoft Teams debía actualizarse antes de poder abrir el documento compartido», ZeroBEC dicho en un informe publicado la semana pasada. La página de Teams falsa en cuestión es «teamvem[.]com.»
La descarga activa se utiliza para entregar «supportdev.exe», un cargador basado en Inno Setup que inicia PowerShell en una ventana oculta, busca un instalador oficial de Level RMM y registra el punto final usando un secreto de inscripción controlado por el atacante («LEVEL_API_KEY=GxSCHE8EZwfyYN3iPQHPai8D»).
Se ha descubierto que el mismo comando de PowerShell descarga e implementa ConnectWise ScreenConnect en paralelo, lo que indica un intento de eliminar varias herramientas RMM con la intención de establecer un acceso remoto persistente.
Esta no es la primera vez que los actores de amenazas abusan de las herramientas RMM en su beneficio. A principios de este año, Microsoft advirtió sobre múltiples campañas de phishing que utilizaban señuelos para reuniones en el lugar de trabajo y archivos PDF adjuntos para distribuir malware firmado denominado TrustConnect, que luego actuaba como conducto para ScreenConnect, junto con otros programas RMM como Tactical RMM y MeshAgent.
Otra campaña documentado por ZeroBEC en mayo de 2026 implicó el uso de correos electrónicos de phishing que pretendían compartir documentos seguros para iniciar una cadena de ataque que sigilosamente eliminaba puertas traseras de RMM.
El último conjunto de ataques de phishing tiene un nombre en clave Operación BlueDashy la empresa de seguridad del correo electrónico lo atribuye con un nivel de confianza moderado a alto a un grupo de actores de amenazas que opera desde Nigeria según un análisis de la infraestructura, el historial del código y un entorno GitHub utilizado para operar las campañas.
La implementación de múltiples herramientas RMM en el mismo host se considera un intento de configurar un acceso redundante y mejorar la resiliencia en caso de que uno de los programas sea detectado y eliminado del entorno.
Posteriormente, se ha observado que los actores de amenazas intentan explorar el host infectado, ejecutando comandos para determinar si está pendiente de reiniciar o si el volumen del sistema estaba protegido, medir los perfiles de firewall activos, enumerar los miembros del grupo de administradores locales e identificar el nombre del grupo de administradores local.
«Esta secuencia sugiere una lista de verificación práctica para el operador: determinar el estado del sistema, comprender el cifrado y la postura del firewall, e identificar a los usuarios locales privilegiados antes de decidir cómo continuar», dijo ZeroBEC. «También brinda a los defensores una oportunidad de detección de comportamiento porque los comandos se originan a través de un contexto RMM no autorizado en lugar de un flujo de trabajo de TI aprobado».
Un análisis más detallado de la infraestructura del actor de amenazas («soporte[.]berrydev[.]xyz») ha descubierto un dominio de páginas de GitHub («berry4603.github[.]io») y un repositorio llamado «Bluedashltd» que contiene la fuente de phishing, la configuración CNAME y la carga útil de SupportDev. El historial de confirmaciones indica que la campaña ha estado activa desde al menos febrero de 2026, cuando se creó el repositorio con la página falsa de Microsoft Store que presenta una «actualización» para Teams.
Es más, se ha descubierto que un segundo repositorio («rustovni») vinculado a la misma cuenta de GitHub alberga un señuelo para reuniones de Zoom junto con sus componentes de entrega de carga útil. El objetivo final, en este caso, es descargar el agente Tactical RMM desde su versión oficial de GitHub, instalarlo en el directorio temporal de Windows y registrar el host comprometido con el atacante mediante un token de autenticación integrado.
La operación con temática de Zoom también sugiere que los actores de amenazas están ejecutando un esquema multimarca que mantiene el núcleo intacto, al tiempo que altera el atractivo de la aplicación en el lugar de trabajo, el host de carga útil y la plataforma de administración remota.
La divulgación se produce cuando ZeroBEC detalló JIVS PhishKit, una campaña coordinada de recolección de credenciales de buzones de correo dirigida a múltiples usuarios dentro de la misma organización para ofrecer una página de phishing independiente del proveedor que puede apuntar a Microsoft 365, Google Workspace, cPanel, Roundcube, Zimbra y otras identidades de correo electrónico. El artefacto más antiguo relacionado con el esfuerzo se remonta al 21 de agosto de 2025.
«Los mensajes utilizaban un remitente externo autenticado pero no relacionado, advertían que cada buzón de correo del destinatario había violado la política y dirigían a los usuarios a una página de phishing PHP activa en corychase.[.]org», la empresa dicho. «La página de inicio no era un clon de Microsoft. Presentaba un formulario genérico de ‘Sesión caducada’ que podía usarse contra Microsoft 365, Google Workspace, correo web alojado o casi cualquier identidad corporativa».
El kit está diseñado para desviar una dirección de correo electrónico corporativa y la contraseña ingresada para ese buzón. No se filtran cookies de sesión, tokens OAuth, códigos de autenticación multifactor (MFA) ni sesiones de navegador.
El desarrollo también sigue a la eliminación del kit de phishing como servicio (PhaaS) Kratos (anteriormente Sneaky 2FA) por parte de las autoridades alemanas en colaboración con los EE. UU. e Indonesia, además del arresto de su presunto desarrollador y administrador técnico. Se estima que la operación ha generado más de 300.000 euros (342.000 dólares) desde 2024. Se cree que más de 1.800 empresas delictivas han utilizado Kratos, lo que ha dado lugar a unas 15.000 campañas de phishing al mes.
