بروتوكول إدارة عن بُعد عبر Windows استُخدم للاتصال بعدد كبير من الأنظمة المنضمة إلى النطاق عبر TCP 5985.
رصدت Microsoft Threat Intelligence حملة اختراق يقودها مشغلون بشريون ينتحلون صفة موظفي الدعم عبر Microsoft Teams، ثم يستغلون جلسات التحكم عن بُعد لتثبيت برمجية خبيثة مبنية على Node.js والتحرك داخل بيئة Active Directory. يعتمد الهجوم على أدوات شرعية، ما يصعّب تمييزه عن عمليات الدعم المعتادة وقد يمهّد لسرقة البيانات أو نشر برمجيات الفدية.