Pesquisadores de segurança identificaram uma campanha de phishing no Microsoft Teams que distribui uma nova família de malware conhecida como SynkLoader, na qual os invasores se passam pelo suporte técnico da empresa-alvo. Em vez de se limitar a roubar credenciais por meio de uma página da Web, a campanha induz a vítima a instalar um arquivo MSI malicioso chamado “PowerShell Cleaner”, hospedado no Microsoft Azure para conferir uma aparência mais confiável ao download.
A Expel identificou vestígios indicando que o SynkLoader foi compilado e distribuído pela primeira vez aproximadamente em 28 de julho de 2026. O instalador extrai um script do PowerShell chamado cleaner.ps1, além de um arquivo ZIP que contém um framework Python, um script malicioso, bibliotecas Python incorporadas e vários arquivos DLL falsos atribuídos ao ambiente da Microsoft.
Malware com vários componentes e linguagens
A Expel deu à família o nome SynkLoader devido à sua composição incomum, que combina Python, PowerShell, C# e C++, com a possibilidade de usar até três linguagens de programação em um único componente. Os invasores escolhem os módulos que instalam de acordo com as características do ambiente comprometido e os objetivos da operação.
Durante a configuração de um ambiente falso conectado a um servidor de comando e controle, os pesquisadores conseguiram observar módulos que coletam o nome do host, o nome do usuário, o nível de privilégios, processos, serviços, detalhes do domínio e o número de dispositivos no Active Directory. O módulo de persistência também cria uma tarefa agendada com um nome aleatório para executar o malware quando o usuário faz login e diariamente às dez da manhã.
A família também inclui um módulo TrafficRedirector para criar um proxy reverso que permite acessar serviços da rede interna ou encaminhar o tráfego da Internet pelo dispositivo infectado, um módulo de shell interativo para executar comandos do PowerShell remotamente e um módulo VNC chamado StreamMaster para transmitir a área de trabalho e controlar o mouse e o teclado. Outro módulo envia ao invasor o status dos módulos e das threads de software ativas.
Tela de bloqueio falsa para capturar a senha
O componente de maior destaque é o PhishLocker, que exibe uma tela de bloqueio semelhante a uma tela real do Windows e solicita a senha da conta do usuário. Os invasores podem usar a senha roubada junto com o módulo de tunelamento para acessar o ambiente da empresa a partir do dispositivo infectado e possivelmente contornar restrições de permissão baseadas em endereços IP.
No entanto, a Expel observou que a tela não é um bloqueio real do sistema, mas um aplicativo gráfico sem bordas executado em tela cheia. É possível detectar isso pressionando Alt+Tab, pois as janelas ativas aparecem sobre a tela falsa. Também é possível tentar usar Ctrl+Alt+Delete para verificar a natureza da tela.
Por que esta notícia é importante?
O foco do SynkLoader em medir o tamanho do ambiente do Active Directory, juntamente com suas capacidades de executar comandos e acessar serviços internos, indica a possibilidade de uso em operações relacionadas a ransomware, segundo a interpretação de Marcus Hutchins, da Expel. A empresa conseguiu confirmar que a atividade era um ataque prático direcionado depois de executar um simulador do módulo de shell reverso; o invasor tentou executar comandos para coletar informações sobre o ambiente antes de descobrir que ele não era real e se desconectar.
A Expel forneceu indicadores de comprometimento da campanha, mas explicou que as assinaturas dos módulos do SynkLoader variam de uma infecção para outra, o que reduz a utilidade de depender apenas de hashes na defesa. Na prática, a campanha destaca a importância de verificar de forma independente qualquer solicitação feita pelo suporte técnico, evitar instalar arquivos MSI não solicitados e não considerar a hospedagem no Azure como prova de que o arquivo é seguro.