Die Kombination aus E-Mail-Bombardement und anschließender Helpdesk-Imitation über Microsoft Teams ist kein neues Muster. Wie Mandiant anmerkt, setzten ehemalige Black-Basta-Mitglieder dieselbe Vorgehensweise seit Längerem ein. Obwohl die Gruppe ihre Ransomware-Operationen Anfang des vergangenen Jahres eingestellt hat, wird das Vorgehen unvermindert weiterverwendet.
In einem kürzlich veröffentlichten Bericht beschrieb ReliaQuest, dass dieser Ansatz gezielt auf Führungskräfte und höhere Angestellte abzielt, um sich Erstzugang zu Unternehmensnetzwerken für möglichen Datendiebstahl, laterale Bewegung, Ransomware-Einsatz und Erpressung zu verschaffen. In manchen Fällen wurden Chats nur 29 Sekunden auseinander gestartet. Laut den ReliaQuest-Forschern John Dilgen und Alexa Feminella zielten zwischen dem 1. März und dem 1. April 2026 rund 77 Prozent der beobachteten Vorfälle auf Beschäftigte der oberen Ebenen, gegenüber 59 Prozent in den ersten beiden Monaten des Jahres 2026. Üblicherweise sollen die Opfer dabei zur Installation legitimer Fernwartungswerkzeuge wie Quick Assist oder Supremo Remote Desktop verleitet werden.
Die von Mandiant beschriebene Angriffskette weicht hiervon ab: Das Opfer klickt auf einen per Teams geteilten Phishing-Link, der den Download eines AutoHotkey-Skripts aus einem von den Angreifern kontrollierten AWS-S3-Bucket auslöst. Die Phishing-Seite trägt den Namen „Mailbox Repair and Sync Utility v2.1.5". Das Skript führt eine erste Erkundung durch und installiert anschließend SNOWBELT, eine bösartige Chromium-basierte Browser-Erweiterung, im Edge-Browser, indem es diesen im Headless-Modus mit dem Befehlsschalter „–load-extension" startet.
Laut den Mandiant-Forschern JP Glab, Tufail Ahmed, Josh Kelley und Muhammad Umair stellt ein vorgeschaltetes Filterskript sicher, dass die Nutzlast nur an die vorgesehenen Ziele ausgeliefert wird und automatisierte Sicherheits-Sandboxes umgangen werden. Es prüft zudem den Browser des Opfers; wer nicht Microsoft Edge verwendet, erhält eine dauerhafte Warnungsüberlagerung. Über die SNOWBELT-Erweiterung lud UNC6692 weitere Dateien nach, darunter SNOWGLAZE, SNOWBASIN, AutoHotkey-Skripte sowie ein ZIP-Archiv mit einer portablen Python-Datei und den nötigen Bibliotheken. Die Phishing-Seite blendet außerdem ein Konfigurationsmenü mit einer „Health Check"-Schaltfläche ein, die zur Eingabe der Postfach-Zugangsdaten auffordert, um diese in einen weiteren Amazon-S3-Bucket abzuziehen.
Das SNOW-Ökosystem ist ein modularer Werkzeugkasten: SNOWBELT ist eine JavaScript-basierte Hintertür, die Befehle empfängt und zur Ausführung an SNOWBASIN weiterleitet. SNOWGLAZE ist ein Python-basierter Tunneler, der einen abgesicherten, authentifizierten WebSocket-Tunnel zwischen dem internen Netzwerk des Opfers und dem Command-and-Control-Server (C2) der Angreifer aufbaut. SNOWBASIN arbeitet als persistente Hintertür und ermöglicht die Remote-Befehlsausführung über „cmd.exe" oder „powershell.exe", das Anfertigen von Screenshots, das Hoch- und Herunterladen von Dateien sowie die Selbstbeendigung; es läuft als lokaler HTTP-Server auf den Ports 8000, 8001 oder 8002.
Mandiant hebt den systematischen Missbrauch legitimer Cloud-Dienste hervor – für die Auslieferung der Nutzlast, die Datenausschleusung und die C2-Infrastruktur. Indem die Angreifer schädliche Komponenten auf vertrauenswürdigen Cloud-Plattformen ablegen, können sie herkömmliche Reputationsfilter umgehen und sich im hohen Aufkommen legitimen Cloud-Verkehrs verstecken.
Parallel beschrieb Cato Networks eine auf Voice-Phishing gestützte Kampagne, die ebenfalls eine Helpdesk-Imitation über Microsoft Teams nutzt, um Opfer zur Ausführung eines WebSocket-basierten Trojaners namens PhantomBackdoor zu bewegen – über ein verschleiertes PowerShell-Skript von einem externen Server. Verteidiger sollten Kollaborationswerkzeuge laut Cato Networks als vollwertige Angriffsfläche behandeln, Verifizierungsabläufe für den Helpdesk durchsetzen, die Kontrollen für externe Teams- und Bildschirmfreigaben verschärfen und PowerShell härten.