偽のMicrosoft Teams更新を悪用、正規の遠隔管理ツールを侵入させる「Operation BlueDash」の脅威

要点

• 偽のMicrosoft Teamsアップデートを促すフィッシング（偽サイトでユーザーを騙す詐欺）キャンペーン「Operation BlueDash」が確認された。

• 攻撃者は「Level RMM」などの正規のリモート監視・管理（RMM）ツールを、被害者の端末に隠れてインストールする。

• 検出や削除を免れるため、複数のRMMツールを同時に配備して遠隔アクセス経路を冗長化（障害に備え予備を用意すること）する。

• 攻撃インフラの分析から、ナイジェリアを拠点とする攻撃者グループによる活動とみられている。

• TeamsのほかにもZoomを模したキャンペーンも確認されており、偽装するブランドやツールを切り替える手口が判明した。

• メールセキュリティ企業のZeroBECは、Microsoft Teamsの偽アップデートを悪用して正規のリモート監視・管理（RMM）ツール（ITシステムを遠隔地から監視・管理する仕組み）を標的端末に導入するフィッシングキャンペーン「Operation BlueDash」の調査レポートを公開した。この攻撃は、感染させた端末への持続的な遠隔アクセスを確保することを目的としている。分析されたインフラやコードの履歴などから、ナイジェリアを拠点とする攻撃者グループによる活動と推測されている。

偽のTeams更新画面から始まる侵入の仕組み

攻撃は、改ざんされたWebサイト経由で、偽 of Microsoft Storeページ「teamvem[.]com」へ被害者を誘導することから始まる。この偽ページでは、共有されたセキュアなドキュメントを開くにはMicrosoft Teamsをアップデートする必要があると騙し、更新ファイルのダウンロードを促す。

ダウンロードされる「supportdev.exe」はローダー（別の不正プログラムを起動するプログラム）だ。非表示ウィンドウでPowerShell（スクリプト実行環境）を起動し、公式の「Level RMM」インストーラーを取得する。そして、攻撃者が用意した登録用認証キー（LEVEL_API_KEY=GxSCHE8EZwfyYN3iPQHPai8D）を用いて、感染したエンドポイント（PCなどの端末機器）を攻撃者の遠隔監視システムに登録する仕組みになっている。

検出を回避するための「遠隔ツールの複数導入」

このキャンペーンの特徴は、複数のRMMツールを並行して導入しようとすることだ。PowerShellの同一コマンド内で、もう一つの遠隔操作ツール「ConnectWise ScreenConnect」も同時にダウンロードして配備する挙動が確認された。

このように複数の正規管理ツールをインストールするのは、一方がセキュリティ対策ソフトに検出・削除されても、他方で遠隔操作を継続できるようにする「遠隔アクセス経路の冗長化」が目的だ。RMMツールはシステム管理のために利用される正規ソフトウェアであるため、セキュリティソフトの検出を回避しやすい性質を悪用している。

侵入後のコマンド実行と防御のヒント

攻撃者は遠隔ツールの導入に成功すると、すぐさま感染した端末の調査を開始する。具体的には、システムの再起動の保留状況、ボリューム保護の有無、有効なファイアウォールの設定状態、ローカルのAdministrator（管理者）グループの構成メンバーやグループ名などの情報を探るコマンドを実行する。

ZeroBECは、これについて「システム状態やファイアウォールの設定、特権ユーザーを事前に把握するための実用的なチェックリストを実行している」と指摘する。また、これらのコマンドが正規のIT管理ワークフローではなく未承認 of RMM経由で実行されている点は、防衛側が不審な挙動として検出する重要な手がかりになるという。

GitHubに残された痕跡と「Zoom」への偽装

攻撃者のインフラ「support[.]berrydev[.]xyz」を追跡したところ、GitHub Pagesのドメイン「berry4603.github[.]io」と、「Bluedashltd」というリポジトリが確認された。ここにはフィッシングページのソースコード、ドメイン設定、および「SupportDev」のペイロード（マルウェアが実行する本来の不正コード）が含まれていた。コミット履歴から、このキャンペーンは少なくとも2026年2月には開始されていたことが判明している。

さらに、同じGitHubアカウントが所有する別リポジトリ「rustovni」からは、Web会議ツール「Zoom」のミーティングを装った偽の画面と配信コンポーネントが発見された。このZoom版では、オープンソースの「Tactical RMM」を公式GitHubからダウンロードして一時ディレクトリにインストールし、埋め込まれたトークンを使って登録する設計だった。

これらは、攻撃者が配信の仕組みを維持したまま、偽装するソフト（TeamsやZoom）、配信元、導入するRMMツールのブランドを切り替える「マルチブランド戦略」を採用していることを示唆している。

他のフィッシング活動との関連性

この発表と並行して、ZeroBECは「JIVS PhishKit」と呼ばれる別のフィッシングキャンペーンの詳細も公表した。これは同一組織内の複数ユーザーを狙い、メールアカウントの資格情報（ログイン情報）を組織的に窃取するものだ。このフィッシングキットは特定のプロバイダに依存せず、Microsoft 365やGoogle Workspace、cPanel、Roundcube、Zimbraなど、多様なメールサービスの認証情報を標的にできる設計になっている。