セキュリティ研究者は、Microsoft Teamsを介してSynkLoaderとして知られる新たなマルウェアファミリーを配布するフィッシングキャンペーンを確認した。このキャンペーンでは、攻撃者が標的企業のテクニカルサポート窓口になりすましている。認証情報をウェブページで盗むだけではなく、Microsoft Azure上にホストされ、ダウンロードの信頼性を高めて見せる「PowerShell Cleaner」という名前の悪意あるMSIファイルを被害者にインストールさせる。
Expelは、SynkLoaderが2026年7月28日頃に初めてコンパイルされ、配布されたことを示す痕跡を確認した。インストーラーは、cleaner.ps1というPowerShellスクリプトに加え、Pythonフレームワーク、悪意あるスクリプト、組み込みのPythonライブラリ、Microsoft環境に属するものと偽装された複数のDLLファイルを含むZIPアーカイブを展開する。
複数のコンポーネントと言語で構成されたマルウェア
Expelは、Python、PowerShell、C#、C++を組み合わせ、1つのコンポーネントで最大3つのプログラミング言語を使用できるという異例の構成を理由に、このファミリーをSynkLoaderと名付けた。攻撃者は、侵害した環境の特徴と作戦の目的に応じて、インストールするモジュールを選択する。
コマンド・アンド・コントロールサーバーに接続する模擬環境を構築する中で、研究者は、ホスト名、ユーザー名、権限レベル、プロセス、サービス、ドメインの詳細、Active Directory内のデバイス数を収集するモジュールを確認できた。永続化モジュールは、ユーザーのログイン時および毎日午前10時にマルウェアを実行するため、ランダムな名前のスケジュールタスクを作成する。
このファミリーには、内部ネットワークサービスへのアクセスや、感染端末を経由したインターネット通信の中継を可能にするリバースプロキシを作成するTrafficRedirectorモジュール、PowerShellコマンドをリモートで実行する対話型シェルモジュール、デスクトップのストリーミングとマウスおよびキーボードの制御を行うStreamMasterというVNCモジュールも含まれている。別のモジュールは、モジュールの状態とアクティブなソフトウェアスレッドを攻撃者に送信する。
パスワードを取得する偽のロック画面
最も注目すべきコンポーネントはPhishLockerで、実際のWindows画面に見えるロック画面を表示し、ユーザーアカウントのパスワードを要求する。攻撃者は、盗んだパスワードをトンネルモジュールと組み合わせ、感染端末から企業環境にアクセスし、IPアドレスに基づく許可制限を回避できる可能性がある。
ただしExpelは、この画面は実際のシステムロックではなく、全画面で動作する境界線のないグラフィカルアプリケーションだと指摘している。Alt+Tabを押すと偽画面の上にアクティブなウィンドウが表示されるため、これを見破ることができる。また、Ctrl+Alt+Deleteを試して画面の性質を確認することもできる。
なぜこのニュースが重要なのか？
ExpelのMarcus Hutchinsの見解によれば、SynkLoaderがActive Directory環境の規模を測定することに重点を置いている点に加え、コマンドの実行や内部サービスへのアクセス能力を備えていることは、ランサムウェアに関連する作戦で使用される可能性を示している。同社は、リバースシェルモジュールのエミュレーターを実行したことで、この活動が実際に標的へ向けられた攻撃だったことを確認できた。攻撃者は、環境に関する情報を収集するコマンドの実行を試みた後、それが実在しないことに気づいて接続を切断した。
Expelはこのキャンペーンの侵害指標を提供したが、SynkLoaderのモジュールのフィンガープリントは感染ごとに異なるため、防御においてハッシュだけに依存する有効性は低いと説明している。実務上、このキャンペーンは、テクニカルサポートからの依頼を独立して確認すること、要求されていないMSIファイルのインストールを避けること、Azure上でホストされていることをファイルの安全性の証拠とみなさないことの重要性を浮き彫りにしている。