Una nueva campaña maliciosa conocida como Operación BlueDash está afectando a los usuarios de Microsoft Teams. Se trata de una actualización falsa que permite a los atacantes controlar los equipos infectados de forma remota. Este problema ha sido identificado por investigadores de seguridad de ZeroBEC, quienes publicaron un informe el 21 de julio.
El ataque sigue una serie de pasos: primero, llega un correo electrónico a la víctima; luego, al pulsar un enlace, se accede a una página que simula ser oficial; a continuación, se descarga una supuesta actualización que instala una herramienta de control remoto, otorgando acceso al atacante al equipo.
La estrategia consiste en enviar un correo electrónico informando que hay un documento demasiado grande para enviarse directamente, invitando a la víctima a acceder a través de Microsoft Teams. Sin embargo, se trata de una estafa cuyo objetivo es que la víctima haga clic en el enlace y entregue sus datos.
Los investigadores de ZeroBEC encontraron un ataque de phishing tradicional. Al hacer clic en el enlace, la víctima es redirigida a una página que simula ser de Microsoft Teams, utilizando capturas de pantalla y una barra de tareas de Windows falsificada para parecer una notificación legítima de actualización.
Este ataque se basa en ingeniería social, requiriendo la interacción de la víctima. Al hacer clic en “Actualizar”, se descarga y ejecuta un archivo llamado supportdev.exe, que no es un instalador real de Teams, sino un paquete malicioso que abre una ventana oculta de PowerShell en segundo plano. Desde allí, se realizan dos acciones simultáneas: se descarga e instala la herramienta legítima de monitorización remota Level RMM, registrando el dispositivo con una clave API predefinida, y se intenta descargar ScreenConnect, un segundo cliente de acceso remoto para que el atacante mantenga un mayor control.
