Nach Angaben von ZeroBEC beginnt die Angriffskette mit einem Köder rund um ein „sicheres Dokument“. Wer darauf hereinfällt, wird über kompromittierte Web-Infrastruktur auf eine gefälschte Microsoft-Store-Seite weitergeleitet, die ein Teams-Update vortäuscht. Der aktive Download liefert eine Datei namens „supportdev.exe“ aus, einen auf Inno Setup basierenden Loader.
Dieser Loader startet PowerShell in einem versteckten Fenster, lädt den offiziellen Installer von Level RMM herunter und registriert den Endpunkt mit einem von den Angreifern kontrollierten Einschreibeschlüssel. ZeroBEC nennt dafür den Wert „LEVEL_API_KEY=GxSCHE8EZwfyYN3iPQHPai8D“. Dieselbe PowerShell-Anweisung wurde den Forschern zufolge auch dabei beobachtet, ConnectWise ScreenConnect parallel herunterzuladen und zu installieren.
Dass mehrere RMM-Werkzeuge auf demselben System abgelegt werden, wertet ZeroBEC als Versuch, redundanten Zugang aufzubauen. Fällt eines der Programme auf und wird entfernt, soll ein alternatives Werkzeug den Fernzugriff offenbar aufrechterhalten. Die Forscher verweisen darauf, dass Bedrohungsakteure RMM-Tools schon mehrfach missbraucht haben. Microsoft hatte in diesem Jahr vor mehreren Phishing-Kampagnen gewarnt, die mit Besprechungs-Ködern aus dem Arbeitsumfeld und PDF-Anhängen arbeiteten, um die signierte Malware TrustConnect zu verbreiten. Diese fungierte anschließend als Transportmittel für ScreenConnect sowie weitere RMM-Programme wie Tactical RMM und MeshAgent.
ZeroBEC hatte außerdem bereits im Mai 2026 eine andere Kampagne dokumentiert, bei der Phishing-Mails mit angeblich sicheren Dokumenten eine Angriffskette starteten, die unauffällig RMM-Hintertüren installierte. Bei Operation BlueDash beobachten die Forscher nach der Installation der Fernwartungswerkzeuge weitere Aufklärungsbefehle auf dem infizierten Host. Dazu zählen Kommandos, mit denen geprüft wird, ob ein Neustart aussteht, ob das Systemvolume geschützt ist, welche Firewall-Profile aktiv sind, wer Mitglied der lokalen Administratorengruppe ist und wie diese Gruppe lokal benannt ist.
ZeroBEC schreibt dazu: „Diese Abfolge deutet auf eine praktische Checkliste der Operatoren hin: den Systemzustand feststellen, die Verschlüsselungs- und Firewall-Konfiguration verstehen und privilegierte lokale Benutzer identifizieren, bevor über das weitere Vorgehen entschieden wird.“ Zugleich biete dieses Verhalten eine Erkennungsmöglichkeit, weil die Befehle über einen nicht autorisierten RMM-Kontext und nicht im Rahmen eines genehmigten IT-Ablaufs ausgeführt würden.
Bei der Analyse der Infrastruktur stieß ZeroBEC auf „support[.]berrydev[.]xyz“, die GitHub-Pages-Domain „berry4603.github[.]io“ sowie ein Repository namens „Bluedashltd“. Dieses enthalte den Phishing-Quellcode, eine CNAME-Konfiguration und die SupportDev-Nutzlast. Laut Commit-Historie ist die Kampagne mindestens seit Februar 2026 aktiv; damals wurde das Repository mit der gefälschten Microsoft-Store-Seite und dem Teams-„Update“ angelegt.
Ein zweites Repository mit dem Namen „rustovni“, das demselben GitHub-Konto zugeordnet wird, hostet laut ZeroBEC einen Zoom-Besprechungs-Köder samt Komponenten zur Auslieferung der Nutzlast. In diesem Fall soll der Tactical-RMM-Agent aus der offiziellen GitHub-Veröffentlichung heruntergeladen, im temporären Windows-Verzeichnis installiert und der kompromittierte Host mit einem eingebetteten Authentifizierungstoken beim Angreifer registriert werden. Für ZeroBEC spricht das dafür, dass die Akteure ein markenübergreifendes Schema betreiben: Der Kern bleibt gleich, variiert werden nur der Köder mit Arbeitsplatz-Anwendungen, der Host für die Nutzlast und die eingesetzte Fernverwaltungsplattform.