ZeroBECの研究者は、「Operation BlueDash」として追跡されている進行中のフィッシング活動を発見しました。この攻撃はMicrosoft Teamsの「安全な文書」を装った偽の誘導手口を悪用し、被害者のエンドポイントをLevel RMM、ScreenConnect、Tactical RMMを含む複数の攻撃者管理下のリモート監視・管理(RMM)プラットフォームに気付かれないよう登録させるものです。
攻撃はまず、「文書が大きすぎて直接送信できなかったため、Microsoft Teams経由で安全に共有した」と主張するフィッシングメールから始まります。
埋め込まれたリンクをクリックすると、被害者は侵害されたWebインフラを経由して、本物そっくりの偽Microsoft Storeページに誘導されます。このページでは、文書にアクセスする前に「Teamsのアップデート」を要求してきます。
この偽のアップデートとしてダウンロードされるsupportdev.exeは、Inno Setupベースのローダーです。実行されると、隠しPowerShellウィンドウを起動し、正規のLevel RMMインストーラーを取得したうえで、攻撃者が管理するAPIキー(LEVEL_API_KEY)を使ってデバイスを気付かれないよう登録します。
同じスクリプトはScreenConnectの並行展開も試み、一方が遮断された場合に備えた冗長なリモートアクセス経路を確立します。
登録後、ZeroBECは実際に人手で行われた偵察活動を示すPowerShellコマンドを復元しました。これには、再起動の保留状況、BitLockerのステータス、Windowsファイアウォールの設定、ローカルの管理者(Administrators)グループのメンバーシップの確認などが含まれます。
こうした活動の痕跡は、単純な自動スキャンではなく、攻撃者が積極的に手動で評価を行っていることを示しています。これは、企業の脅威環境全般で見られる最近のソーシャルエンジニアリング手法と同様、管理ツールを悪用する傾向がより広範に広がっていることを反映しています。
DNSおよびGitHub Pagesの分析により、調査担当者はフィッシングサイトのソースコード、CNAME設定、SupportDevペイロード、そして14件の開発コミット履歴を含む公開リポジトリ(Bluedashltd)に直接たどり着きました。
リポジトリの初期のコミットを見ると、この攻撃活動は当初、偽のアップデートボタンをScreenConnectインストーラーに直接接続していましたが、2026年5月には複数のRMMに対応したSupportDevローダーへと進化していたことがわかります。
ZeroBECのOperation BlueDashレポートで詳しく述べられているとおり、関連する2つ目のリポジトリ(rustovni)からは、同じ偽アップデートの枠組みを利用したZoomをテーマにした並行キャンペーンが明らかになりました。
このブランチは後にJScriptペイロード(ZoomInstallerSetup.js)へと切り替わり、埋め込まれた認証トークンを使ってTactical RMMをインストールし、攻撃者のインフラであるapi.investrneent[.]comに接続します。
リポジトリの所有権の継続性、コントリビューターのコミットパターン、キャンペーン間でのインフラの重複、さらに広範なオープンソースインテリジェンス(OSINT)に基づき、ZeroBECはOperation BlueDashを特定のナイジェリア拠点の開発者グループによるものと中〜高程度の確信度で特定しています。GitHubアカウントが侵害されたり、無関係な脅威アクターによって転用されたりしたことを示す証拠はありません。
今回の調査結果は、署名済みの業務用アプリを装いScreenConnect、Tactical RMM、MeshAgentを展開する手口に関するMicrosoftの2026年3月のレポートの内容をさらに拡張するものです。
Operation BlueDashでは、これまで観測されてきたツールセットにLevel RMMが新たに加わったほか、Netlify、GitHub Pages、Dropboxを横断したインフラのローテーションを含め、攻撃者の開発ライフサイクルについて前例のない可視性が得られました。
防御担当者やセキュリティオペレーションセンターは、以下のテレメトリルールおよび監視戦略の実装を検討すべきです。
翻訳元: https://cyberpress.org/operation-bluedash-phishing-campaign/