Des chercheurs en sécurité ont observé une campagne d’hameçonnage via Microsoft Teams distribuant une nouvelle famille de logiciels malveillants connue sous le nom de SynkLoader, dans laquelle les attaquants se font passer pour le service de support technique de l’entreprise ciblée. Plutôt que de se limiter à voler les identifiants au moyen d’une page web, la campagne incite la victime à installer un fichier MSI malveillant nommé « PowerShell Cleaner », hébergé sur Microsoft Azure afin de donner au téléchargement une apparence plus fiable.
La société Expel a identifié des traces indiquant que SynkLoader a été compilé et distribué pour la première fois aux alentours du 28 juillet 2026. L’installateur extrait un script PowerShell nommé cleaner.ps1, ainsi qu’une archive ZIP contenant un framework Python, un script malveillant, des bibliothèques Python intégrées et plusieurs faux fichiers DLL attribués à l’environnement Microsoft.
Un logiciel composé de plusieurs éléments et langages
Expel a donné à cette famille le nom de SynkLoader en raison de sa composition inhabituelle, qui combine Python, PowerShell, C# et C++, avec la possibilité d’utiliser jusqu’à trois langages de programmation dans un même composant. Les attaquants choisissent les modules à installer en fonction des caractéristiques de l’environnement compromis et des objectifs de l’opération.
Lors de la préparation d’un environnement leurre se connectant à un serveur de commande et de contrôle, les chercheurs ont pu observer des modules recueillant le nom de l’hôte, le nom de l’utilisateur, le niveau de privilèges, les processus et les services, les détails du domaine ainsi que le nombre d’appareils dans Active Directory. Le module de persistance crée une tâche planifiée portant un nom aléatoire afin d’exécuter le logiciel lors de la connexion de l’utilisateur et chaque jour à dix heures du matin.
La famille comprend également un module TrafficRedirector destiné à créer un proxy inverse permettant d’accéder aux services du réseau interne ou de faire transiter le trafic Internet par l’appareil infecté, un module d’interpréteur interactif pour exécuter à distance des commandes PowerShell, ainsi qu’un module VNC nommé StreamMaster pour diffuser le bureau et contrôler la souris et le clavier. Un autre module envoie à l’attaquant l’état des modules et des threads actifs.
Un faux écran de verrouillage pour capturer le mot de passe
Le composant le plus notable est PhishLocker, qui affiche un écran de verrouillage ressemblant à un véritable écran Windows et demande le mot de passe du compte utilisateur. Les attaquants peuvent utiliser le mot de passe volé avec le module de tunneling pour accéder à l’environnement de l’entreprise depuis l’appareil infecté, et éventuellement contourner les restrictions d’autorisation fondées sur les adresses IP.
Expel a toutefois indiqué que l’écran n’est pas un véritable verrouillage du système, mais une application graphique sans bordure fonctionnant en plein écran. Il est possible de le détecter en appuyant sur Alt+Tab, car les fenêtres actives apparaissent par-dessus le faux écran. Il est également possible d’essayer Ctrl+Alt+Delete pour vérifier la nature de l’écran.
Pourquoi cette information est-elle importante ?
Selon l’interprétation de Marcus Hutchins, d’Expel, l’attention portée par SynkLoader à l’évaluation de la taille de l’environnement Active Directory, ainsi que ses capacités d’exécution de commandes et d’accès aux services internes, indiquent qu’il pourrait être utilisé dans des opérations liées aux rançongiciels. La société a pu confirmer qu’il s’agissait d’une attaque concrète et ciblée après avoir déployé un émulateur du module de shell inversé : l’attaquant a tenté d’exécuter des commandes pour recueillir des informations sur l’environnement avant de découvrir qu’il n’était pas réel et de se déconnecter.
Expel a fourni des indicateurs de compromission pour cette campagne, mais a précisé que les empreintes des modules de SynkLoader diffèrent d’une infection à l’autre, ce qui réduit l’utilité de s’appuyer uniquement sur les hachages pour se défendre. En pratique, la campagne souligne l’importance de vérifier de manière indépendante toute demande provenant du support technique, d’éviter l’installation de fichiers MSI non sollicités et de ne pas considérer l’hébergement sur Azure comme une preuve de l’innocuité du fichier.