SynkLoader, una nuova famiglia di malware, viene diffusa tramite campagne di phishing su Microsoft Teams. Gli attaccanti si spacciano per help desk IT e rubano le credenziali degli utenti con una schermata di blocco falsa, sfruttando moduli avanzati per il controllo remoto e la persistenza.
Una nuova minaccia informatica denominata SynkLoader sta prendendo di mira le aziende attraverso campagne di phishing su Microsoft Teams. Gli attaccanti si fingono membri dell'help desk IT aziendale, una tecnica che Microsoft aveva già segnalato come in crescita nei recenti attacchi multi-fase. Secondo Marcus Hutchins, ricercatore di sicurezza di Expel, le vittime vengono indotte a scaricare un falso eseguibile "PowerShell Cleaner" in formato .MSI, ospitato su Microsoft Azure per aumentarne la credibilità.
Come funziona SynkLoader e i suoi moduli
L'analisi tecnica ha rivelato che SynkLoader è stato compilato e distribuito per la prima volta intorno al 28 luglio 2026. L'installer estrae uno script PowerShell chiamato cleaner.ps1 e un archivio ZIP che contiene il framework Python, uno script Python malevolo, librerie Python precompilate e diversi falsi DLL Microsoft runtime.
Gli attaccanti selezionano i moduli da attivare in base al profilo dell'ambiente compromesso e agli obiettivi operativi. SynkLoader si distingue per la combinazione insolita di Python, PowerShell, C# e C++, con moduli che possono integrare fino a tre linguaggi nello stesso componente. Tra i moduli identificati da Expel tramite honeypot figurano:
- System Profiler: raccoglie informazioni su hostname, utente, privilegi, processi, servizi, dettagli di dominio e numero di computer in Active Directory.
- Persistence Module: crea un'attività pianificata con nome casuale per avviare SynkLoader all'accesso dell'utente e ogni giorno alle 10.
- PhishLocker: mostra una schermata di blocco Windows falsa per carpire la password di accesso.
- TrafficRedirector: imposta un reverse proxy per consentire agli attaccanti di accedere ai servizi di rete interni o instradare il traffico Internet tramite il computer infetto.
- Interactive Shell (RAT): permette l'esecuzione remota di comandi PowerShell e la ricezione dei risultati.
- StreamMaster (VNC): trasmette il desktop della vittima e consente il controllo remoto di mouse e tastiera.
- Module Status Script: segnala quali moduli e thread sono attivi.
PhishLocker: la schermata di blocco che ruba le password
Il modulo più insidioso è PhishLocker, che simula una schermata di blocco Windows per indurre l'utente a inserire la password. Se la password viene acquisita, gli attaccanti possono sfruttarla insieme al modulo di tunneling per accedere all'ambiente aziendale dalla macchina compromessa, aggirando eventuali restrizioni basate su IP. Expel sottolinea che, nonostante l'aspetto credibile della schermata, è possibile smascherarla usando Alt+Tab, che mostra le finestre attive sopra la GUI a schermo intero.
Obiettivi e raccomandazioni di sicurezza
Secondo Hutchins, l'interesse di SynkLoader per la dimensione dell'Active Directory suggerisce un possibile utilizzo in operazioni ransomware. Il team di Expel ha anche sviluppato un emulatore per il modulo reverse shell, confermando che l'attacco era di tipo hands-on-keyboard: l'attore malevolo ha eseguito diversi comandi di profilazione prima di accorgersi di trovarsi in un ambiente simulato e disconnettersi.
Expel ha pubblicato indicatori di compromissione (IoC) relativi all'attacco, ma avverte che gli hash dei moduli SynkLoader sono unici per ogni infezione e quindi poco utili per la difesa. Le migliori pratiche restano la verifica indipendente delle richieste IT e l'evitare l'installazione di file MSI non richiesti. In caso di schermate di blocco sospette, è consigliato provare Ctrl+Alt+Canc o Alt+Tab per verificarne l'autenticità.
Contesto e minacce simili
La diffusione di SynkLoader si inserisce in un panorama di minacce sempre più sofisticate che sfruttano tecniche di phishing e social engineering. Anche altre campagne recenti hanno mostrato come i criminali informatici siano in grado di sviluppare strumenti su misura per aggirare le difese aziendali, come dimostrato dall'uso di web shell personalizzate nei confronti di piattaforme industriali, descritto in un approfondimento su attacchi mirati a PTC Windchill.
