Sicherheitsforscher haben eine Phishing-Kampagne über Microsoft Teams beobachtet, die eine neue Malware-Familie namens SynkLoader verbreitet. Dabei geben sich die Angreifer als technischer Support des Zielunternehmens aus. Anstatt sich darauf zu beschränken, Zugangsdaten über eine Webseite zu stehlen, bringt die Kampagne das Opfer dazu, eine schädliche MSI-Datei namens „PowerShell Cleaner“ zu installieren, die auf Microsoft Azure gehostet wird, um den Download vertrauenswürdiger erscheinen zu lassen.
Expel identifizierte Spuren, die darauf hindeuten, dass SynkLoader erstmals ungefähr am 28. Juli 2026 kompiliert und verbreitet wurde. Das Installationsprogramm extrahiert ein PowerShell-Skript namens cleaner.ps1 sowie ein ZIP-Archiv mit einem Python-Framework, einem schädlichen Skript, eingebetteten Python-Bibliotheken und mehreren gefälschten DLL-Dateien, die der Microsoft-Umgebung zugeschrieben werden.
Eine Malware mit mehreren Komponenten und Programmiersprachen
Expel gab der Familie aufgrund ihrer ungewöhnlichen Zusammensetzung aus Python, PowerShell, C# und C++ den Namen SynkLoader. Dabei können in einer einzelnen Komponente bis zu drei Programmiersprachen verwendet werden. Die Angreifer wählen die zu installierenden Module entsprechend den Merkmalen der kompromittierten Umgebung und den Zielen des Vorgangs aus.
Während der Einrichtung einer Testumgebung, die eine Verbindung zum Command-and-Control-Server herstellte, konnten die Forscher Module beobachten, die den Hostnamen, den Benutzernamen, die Berechtigungsstufe, Prozesse und Dienste, Domänendetails sowie die Anzahl der Geräte in Active Directory erfassten. Ein Persistenzmodul erstellt eine zufällig benannte geplante Aufgabe, um die Malware bei der Benutzeranmeldung und täglich um zehn Uhr morgens auszuführen.
Die Familie umfasst außerdem ein Modul namens TrafficRedirector, das einen Reverse-Proxy einrichtet und den Zugriff auf interne Netzwerkdienste oder die Weiterleitung des Internetverkehrs über das infizierte Gerät ermöglicht, ein interaktives Shell-Modul zur Ausführung von PowerShell-Befehlen aus der Ferne sowie ein VNC-Modul namens StreamMaster zur Übertragung des Desktops und zur Steuerung von Maus und Tastatur. Ein weiteres Modul übermittelt dem Angreifer den Status der Module und der aktiven Program Threads.
Gefälschter Sperrbildschirm zum Abfangen des Passworts
Die auffälligste Komponente ist PhishLocker. Sie zeigt einen Sperrbildschirm an, der wie ein echter Windows-Bildschirm aussieht, und fordert das Passwort des Benutzerkontos an. Die Angreifer können das gestohlene Passwort zusammen mit dem Tunnelmodul verwenden, um vom infizierten Gerät aus auf die Unternehmensumgebung zuzugreifen und möglicherweise IP-adressbasierte Zugriffsregeln zu umgehen.
Expel wies jedoch darauf hin, dass der Bildschirm keine echte Systemsperre darstellt, sondern eine randlose grafische Anwendung im Vollbildmodus ist. Dies lässt sich durch Drücken von Alt+Tab erkennen, da die aktiven Fenster über dem gefälschten Bildschirm erscheinen. Außerdem kann man Ctrl+Alt+Delete ausprobieren, um die Art des Bildschirms zu überprüfen.
Warum ist diese Nachricht wichtig?
Die Konzentration von SynkLoader auf die Ermittlung der Größe der Active-Directory-Umgebung sowie seine Fähigkeiten zur Befehlsausführung und zum Zugriff auf interne Dienste deuten laut der Einschätzung von Marcus Hutchins von Expel darauf hin, dass die Malware bei Vorgängen im Zusammenhang mit Ransomware eingesetzt werden könnte. Das Unternehmen konnte bestätigen, dass es sich um einen praktischen, gezielten Angriff handelte, nachdem es einen Reverse-Shell-Emulator ausgeführt hatte: Der Angreifer versuchte, Befehle zur Erfassung von Informationen über die Umgebung auszuführen, bevor er erkannte, dass sie nicht echt war, und die Verbindung abbrach.
Expel stellte Indicators of Compromise für die Kampagne bereit, erklärte jedoch, dass sich die Signaturen der SynkLoader-Module von Infektion zu Infektion unterscheiden, wodurch der alleinige Rückgriff auf Hashes zur Abwehr weniger nützlich ist. In der Praxis unterstreicht die Kampagne, wie wichtig eine unabhängige Überprüfung jeder Anfrage des technischen Supports ist. Außerdem sollten unerwartete MSI-Dateien nicht installiert werden, und das Hosting auf Azure sollte nicht als Beleg für die Sicherheit der Datei angesehen werden.