Laut einem Blogbeitrag des Huntress-SOC stammt die Information über die Angriffswelle von dessen taktischem Analysten Josh Allman. Die Schwachstelle CVE-2026-1731 erlaubt es nicht authentifizierten Angreifern, Anfragen so zu gestalten, dass beliebige Betriebssystembefehle aus der Ferne ausgeführt werden. Betroffen sind BeyondTrust Remote Support – früher Bomgar Remote Support – und ältere Versionen von Privileged Remote Access (PRA).
Allman vergleicht den Angriff auf den RMM-Server mit dem „Schlüssel zur ganzen Stadt": Hat ein Angreifer den vorgelagerten Server unter Kontrolle, erreicht er sämtliche nachgelagerten Kunden. Besonders gefährlich sei dies bei Software-Anbietern oder IT-Dienstleistern, die Hunderte bis Tausende Kunden über mehrere Organisationen hinweg betreuen.
Huntress zählte in den vergangenen zwei Wochen fünf Vorfälle gegen Bomgar-RMM-Instanzen. Der erste, am 3. April, schleuste das Fernwartungswerkzeug Atera zur dauerhaften Verankerung ein und kompromittierte eine Software-Firma für Zahnarztpraxen samt drei nachgelagerten Unternehmen. Bei einem Angriff am 5. April nutzten die Täter AnyDesk zur Persistenz, führten Enumerationsaktivitäten durch und fügten einen Nutzer den lokalen beziehungsweise Domänen-Administratorgruppen hinzu.
Der Vorfall am 12. April war der erste der jüngsten Angriffe, bei dem LockBit-Ransomware eingesetzt wurde: Über eine eingeschleuste Bomgar-RMM-Instanz verschafften sich die Angreifer Zugriff auf Endpunkte und führten die Ransomware erfolgreich im Netzwerk aus; zudem legten sie einen neuen Nutzer in der lokalen Administratorgruppe an. Am 14. April gab es zwei getrennte Angriffe, bei denen jeweils ein RMM ausgerollt wurde – einmal AnyDesk, einmal Atera –, beide mit Hinzufügen von Nutzern zu Administratorgruppen; im AnyDesk-Fall folgte ebenfalls LockBit-Ransomware. Ein weiterer Angriff fiel auf den 15. April: Er traf einen MSP und führte zur Massenisolierung von 78 Unternehmen sowie zu Folgeangriffen auf vier nachgelagerte Kunden.
Bei den Ransomware-Einsätzen geht Huntress davon aus, dass die Täter den zuvor geleakten LockBit-3.0-Builder verwendeten. In anderen Fällen beschränkten sich die Angreifer auf Aufklärung, Rechteausweitung und den Einsatz weiterer RMM-Werkzeuge wie AnyDesk und Atera. Insgesamt zeige sich ein Muster: Die Akteure zielten auf hochprivilegierte Bomgar-Konten in MSP-Umgebungen und brachten Zugriffswerkzeuge direkt auf Domänencontroller, um sich festzusetzen und mit geringem Widerstand seitlich in Kundennetze auszubreiten.
Die Vorfälle stehen laut Huntress für einen anhaltenden Trend, bei dem Angreifer statt klassischer Malware verstärkt legitime RMM-Werkzeuge missbrauchen – eine unauffällige Methode, die die Erkennung erschwert. Wer hinter den Angriffen steckt, nannte Huntress nicht. In der Vergangenheit gab es jedoch bereits eine Verbindung zwischen LockBit-Akteuren und dem Einsatz von RMM-Werkzeugen zur Ausbreitung in Opfernetzen.
Als erste Maßnahme empfiehlt Huntress, verwundbare Systeme zu patchen, da der Einstiegspunkt eine bekannte Schwachstelle ist und die Vorfälle andauern. Weiter rät das Unternehmen, auf nicht autorisierte Administratorkonten, unerwartete RMM-Installationen und verdächtige Aktivitäten rund um Bomgar-Prozesse zu achten. Huntress veröffentlichte zudem eine Liste von Kompromittierungsindikatoren (IOCs), darunter verschiedene ausführbare Dateien aus den beobachteten Angriffen.