Sophosが追跡するSTAC4749のキャンペーンは、2026年2月から6月にかけて数十の企業を対象にMicrosoft Teamsを通じてITサポート担当者を装い、従業員を騙している。攻撃者はMicrosoft Quick AssistやRemSuppなどのリモートアクセスツールを利用して端末にアクセスし、Chaosランサムウェアを配布している。このキャンペーンはカナダと米国の企業を標的にしており、少なくとも3件の攻撃でランサムウェアが配布された。

攻撃者は'.top'ドメインの下にIT関連のドメインを作成し、Anthony Brooks、Dylan Harper、Ethan Parker、Jason Mitchellという偽のITサポート担当者の名前を使用している。端末にアクセスした後、PowerShellを利用してバックドアソフトウェアをダウンロードし、システムをプロファイルしている。攻撃者はランサムウェアを配布する前にデータを盗み取っている可能性がある。

Sophosの報告書によると、攻撃者は攻撃チェーンを継続的に変更し、検知を回避するためにソフトウェアファイルの名前、永続化メカニズム、配布方法を変更している。Chaosランサムウェアは2025年から活動しており、BlackSuitとRoyalランサムウェアグループの元メンバーと関連している。