Sophos zufolge unterschieden sich die Angriffe von früheren Microsoft-Teams-Kampagnen vor allem durch die genutzte Infrastruktur. Während Angreifer in der Vergangenheit oft eigene Mandanten auf Microsofts onmicrosoft.com-Domain anlegten, setzte STAC4749 auf angebliche IT-Domains unter der Top-Level-Domain “.top”. Als Beispiele nannte Sophos sequrityupdate[.]top, scan-security[.]top, system-connect[.]top, corp-connect[.]top und supportsoft[.]top.
Diese Domains kombinierten die Täter mit erfundenen Support-Identitäten wie Anthony Brooks, Dylan Harper, Ethan Parker und Jason Mitchell. Ziel der Kontakte war es, Beschäftigte dazu zu bringen, Microsoft Quick Assist zu starten oder ein anderes Werkzeug für Fernüberwachung und Fernverwaltung zu installieren. Die von Sophos beobachteten Anrufe dauerten zwischen 90 Sekunden und mehr als 20 Minuten, die meisten aber nur etwa zwei bis zweieinhalb Minuten.
Anfangs bevorzugten die Angreifer laut Sophos Quick Assist und wichen auf das cloudbasierte Fernverwaltungswerkzeug RemSupp aus, wenn Quick Assist nicht verfügbar oder blockiert war. Ab April nutzten sie dann überwiegend RemSupp, möglicherweise weil es seltener auf unternehmensweiten Sperrlisten für Anwendungen stand.
War der Fernzugriff einmal eingerichtet, luden die Angreifer per PowerShell letztlich eine Hintertür in den %AppData%-Ordner des kompromittierten Nutzers. Die Schadsoftware erfasste Systemeigenschaften, stellte Persistenz her und sicherte den Tätern fortgesetzten Remote-Zugang. Um diese Persistenz unauffälliger erscheinen zu lassen, tarnten die Angreifer bösartige Registry-Einträge als Realtek- und Windows-Audiokomponenten, unter anderem mit Bezeichnungen wie „Realtek HD Audio“, „Realtek Audio UHD“ und „WinAudio life2“.
In Vorfällen, die später in der Bereitstellung von Chaos-Ransomware mündeten, installierten die Täter zusätzlich Fernzugriffssoftware wie DWAgent oder AnyDesk als Ausweichzugang zu Systemen im Netzwerk. Außerdem versuchten sie, das Remote Desktop Protocol auf kompromittierten Geräten zu aktivieren, um sich seitlich zwischen Systemen zu bewegen. Sophos berichtet, dass die Angreifer ihre Angriffskette zwischen Februar und Mai fortlaufend anpassten, darunter Dateinamen der Schadsoftware, Persistenzmechanismen und Bereitstellungsmethoden, um Erkennung zu vermeiden.
Mindestens drei Kompromittierungen durch STAC4749 führten nach Angaben von Sophos letztlich zu Chaos-Ransomware-Angriffen. In mindestens einem Fall hätten die Täter wahrscheinlich vor der Bereitstellung der Ransomware noch Daten gestohlen. Wurde die Ransomware aktiviert, verschlüsselte sie laut Sophos Dateien gleichzeitig auf kompromittierten Geräten; auf den betroffenen Systemen erschienen Lösegeldnotizen mit dem Namen „readme.chaos.txt“.
BleepingComputer zufolge trugen die dort gesichteten Chaos-Lösegeldnotizen denselben Text: Darin behaupten die Angreifer, Daten gestohlen zu haben, und drohen mit einer Veröffentlichung, falls kein Lösegeld gezahlt wird. In einem von Sophos beobachteten Fall lagen zwischen dem ersten Microsoft-Teams-Kontakt und der Bereitstellung der Ransomware weniger als 17 Stunden. Angesichts dieses kurzen Zeitraums bewerten die Sophos-Analysten die Operation mit hoher Sicherheit als finanziell motiviert; STAC4749 habe die Ransomware entweder selbst direkt eingesetzt oder mit Affiliates koordiniert.
Sophos beschreibt Chaos als Ransomware-as-a-Service-Operation, die mindestens seit Februar 2025 aktiv sei und mutmaßlich Verbindungen zu früheren Mitgliedern der Gruppen BlackSuit und Royal habe. Diese Ransomware-Operationen waren demnach wiederum Abspaltungen des Conti-Cybercrime-Syndikats. Einen Zusammenhang zwischen STAC4749 und der iranischen, staatlich unterstützten Gruppe MuddyWater fand Sophos nach eigenen Angaben nicht, obwohl Microsoft Teams auch in neueren MuddyWater-Angriffen genutzt worden sein soll.