Nach Darstellung von ReliaQuest reichte in den untersuchten Vorfällen ein einziger externer Teams-Chat aus, um den Angreifer von der ersten unaufgeforderten Kontaktaufnahme bis zu einem dauerhaften Standbein im Netzwerk zu bringen – in weniger als fünf Minuten.
Die Kampagne ist den Forschern zufolge mindestens seit April 2026 aktiv. Um Sperren zu umgehen, wechselt KongTuke zwischen fünf Microsoft-365-Mandanten. Damit die Angreifer als interner IT-Support durchgehen, setzen sie zudem auf Unicode-Tricks mit Leerzeichen, um den angezeigten Namen legitim erscheinen zu lassen.
Der über Teams übermittelte PowerShell-Befehl lädt ein ZIP-Archiv von Dropbox herunter. Dieses enthält eine portable WinPython-Umgebung, die schließlich die in Python geschriebene Schadsoftware ModeloRAT (Pmanager.py) startet. ModeloRAT sammelt System- und Benutzerinformationen, erstellt Bildschirmfotos und kann Dateien aus dem Dateisystem des befallenen Rechners abziehen.
ReliaQuest weist darauf hin, dass sich die in dieser jüngsten Kampagne eingesetzte Version von ModeloRAT gegenüber früheren Operationen weiterentwickelt hat, im Wesentlichen in drei Punkten. Bemerkenswert ist dabei, dass die Selbstzerstörungsroutine der Schadsoftware zwar die übrigen Persistenzmechanismen entfernt, eine eingerichtete geplante Aufgabe jedoch nicht löscht. Diese kann auch nach einem Neustart des Systems bestehen bleiben.
Zur Abwehr von über Teams initiierten Angriffen empfiehlt ReliaQuest, die externe Microsoft-Teams-Föderation über Positivlisten einzuschränken, um solche Kontaktversuche von vornherein zu blockieren. Darüber hinaus können Administratoren die im Bericht von ReliaQuest bereitgestellten Kompromittierungsindikatoren nutzen, um nach Angriffen, Anzeichen einer Kompromittierung und Persistenzartefakten zu suchen.