رصد باحثو الأمن حملة تصيد عبر Microsoft Teams توزع عائلة برمجية خبيثة جديدة تُعرف باسم SynkLoader، وتنتحل فيها الجهات المهاجمة صفة مكتب الدعم التقني في الشركة المستهدفة. وبدلاً من الاكتفاء بسرقة بيانات الدخول عبر صفحة ويب، تدفع الحملة الضحية إلى تثبيت ملف MSI ضار باسم “PowerShell Cleaner”، مستضاف على Microsoft Azure لإضفاء مظهر أكثر موثوقية على التنزيل.
حددت شركة Expel آثاراً تشير إلى أن SynkLoader جرى تجميعها وتوزيعها للمرة الأولى تقريباً في 28 يوليو 2026. ويستخرج المثبّت سكربت PowerShell باسم cleaner.ps1، إلى جانب أرشيف ZIP يضم إطار عمل Python وسكربتاً ضاراً ومكتبات Python مدمجة وعدداً من ملفات DLL المزيفة المنسوبة إلى بيئة Microsoft.
برمجية متعددة المكونات واللغات
أطلقت Expel اسم SynkLoader على العائلة بسبب تركيبتها غير المعتادة التي تجمع بين Python وPowerShell وC# وC++، مع إمكانية استخدام ما يصل إلى ثلاث لغات برمجة في مكوّن واحد. ويختار المهاجمون الوحدات التي يثبتونها وفقاً لملامح البيئة المخترقة وأهداف العملية.
وخلال إعداد بيئة وهمية تتصل بخادم التحكم والسيطرة، تمكّن الباحثون من رصد وحدات تشمل جمع اسم المضيف واسم المستخدم ومستوى الصلاحيات والعمليات والخدمات وتفاصيل النطاق وعدد الأجهزة في Active Directory. كما تنشئ وحدة الاستمرارية مهمة مجدولة باسم عشوائي لتشغيل البرمجية عند تسجيل دخول المستخدم ويومياً في الساعة العاشرة صباحاً.
وتتضمن العائلة كذلك وحدة TrafficRedirector لإنشاء وكيل عكسي يتيح الوصول إلى خدمات الشبكة الداخلية أو تمرير حركة الإنترنت عبر الجهاز المصاب، ووحدة غلاف تفاعلي لتنفيذ أوامر PowerShell عن بُعد، ووحدة VNC باسم StreamMaster لبث سطح المكتب والتحكم بالفأرة ولوحة المفاتيح. وترسل وحدة أخرى حالة الوحدات والخيوط البرمجية النشطة إلى المهاجم.
شاشة قفل مزيفة لالتقاط كلمة المرور
يتمثل المكوّن الأبرز في PhishLocker، الذي يعرض شاشة قفل تبدو كأنها شاشة Windows حقيقية ويطلب كلمة مرور حساب المستخدم. ويمكن للمهاجمين استخدام كلمة المرور المسروقة مع وحدة الأنفاق للوصول إلى بيئة الشركة من الجهاز المصاب، وربما تجاوز قيود السماح المعتمدة على عناوين IP.
لكن Expel أشارت إلى أن الشاشة ليست قفل نظام فعلياً، بل تطبيق رسومي بلا حدود يعمل بملء الشاشة. ويمكن لكشف ذلك الضغط على Alt+Tab، إذ تظهر النوافذ النشطة فوق الشاشة المزيفة. كما يمكن تجربة Ctrl+Alt+Delete للتحقق من طبيعة الشاشة.
لماذا يهم هذا الخبر؟
يشير تركيز SynkLoader على قياس حجم بيئة Active Directory، إلى جانب قدراتها على تنفيذ الأوامر والوصول إلى الخدمات الداخلية، إلى احتمال استخدامها في عمليات مرتبطة ببرمجيات الفدية، وفق تفسير Marcus Hutchins من Expel. وتمكنت الشركة من تأكيد أن النشاط كان هجوماً عملياً موجهاً، بعدما نفذت محاكياً لوحدة الصدفة العكسية؛ إذ حاول المهاجم تشغيل أوامر لجمع معلومات عن البيئة قبل أن يكتشف أنها ليست حقيقية وينقطع.
قدمت Expel مؤشرات اختراق للحملة، لكنها أوضحت أن بصمات وحدات SynkLoader تختلف من إصابة إلى أخرى، ما يقلل فائدة الاعتماد على التجزئات وحدها في الدفاع. عملياً، تبرز الحملة أهمية التحقق المستقل من أي طلب صادر عن الدعم التقني، وتجنب تثبيت ملفات MSI غير المطلوبة، وعدم اعتبار الاستضافة على Azure دليلاً على سلامة الملف.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.