Неизвестная ранее вредоносная программа, получившая название SynkLoader, распространяется через фишинговые кампании в Microsoft Teams. Ее цель — кража учетных данных с помощью поддельного экрана блокировки.
Злоумышленник выдает себя за ИТ-отдел компании-жертвы. Такой подход ранее был отмечен Microsoft как все более распространенный в многоступенчатых атаках.
Исследователь безопасности из Expel Маркус Хатчинс поясняет, что в ходе атаки жертву убеждают установить исполняемый файл под названием «PowerShell Cleaner» (с расширением .MSI), размещенный в Microsoft Azure, чтобы загрузка выглядела доверительной.
Анализ вредоносного ПО показал, что даты компиляции и временные метки файлов указывают на его первое создание и распространение около 28 июля 2026 года.
Установщик извлекает скрипт PowerShell с именем cleaner.ps1 и ZIP-архив, содержащий фреймворк Python, вредоносный скрипт Python, предварительно скомпилированные библиотеки Python и несколько поддельных DLL-библиотек Microsoft.
В зависимости от профиля скомпрометированной среды и операционных целей злоумышленники выбирают, какие модули развернуть.
SynkLoader получил свое название из-за необычной комбинации Python, PowerShell, C# и C++, иногда в одном модуле смешиваются до трех языков программирования.
Expel выявила следующие модули SynkLoader после настройки ловушки, которая имитировала легитимную жертву и связывалась с C2-сервером злоумышленников:
- Наиболее интересным компонентом является модуль PhishLocker, который пытается получить пароль учетной записи Windows через поддельный экран блокировки.
- Получив пароль, злоумышленники могут использовать его вместе с туннельным модулем для доступа к корпоративным средам с зараженного устройства, обходя ограничения IP-адресов.
Хотя поддельный экран блокировки выглядит довольно убедительно, Expel отмечает, что простое использование Alt+Tab позволяет увидеть активные окна поверх экрана блокировки, который на самом деле является «полноэкранным приложением без рамок».
Хатчинс говорит, что, судя по тому, что SynkLoader измеряет размер среды Active Directory, вероятно, он используется в операциях программ-вымогателей.
«Мы даже написали эмулятор для модуля обратной оболочки, чтобы подтвердить, что это действительно атака с ручным управлением, — говорит исследователь. — Злоумышленник попытался выполнить несколько команд профилирования, прежде чем понял, что находится не в реальной среде, и отключился».
Expel предоставила индикаторы компрометации (IoC) для наблюдаемой атаки, хотя отметила, что хэши модулей SynkLoader уникальны для каждого заражения и поэтому не очень полезны для защитников.
Лучшая практика — независимо проверять запросы ИТ-отдела и избегать установки незапрошенных MSI-файлов.
При столкновении с неожиданным экраном блокировки попробуйте нажать Ctrl+Alt+Delete или Alt+Tab, чтобы определить его подлинность.
Общие показатели предотвращения могут скрывать то, что происходит после первоначального доступа. Как только злоумышленники используют действительные учетные данные, эффективность предотвращения резко падает.
Отчет Blue Report 2026 оценивает защитные меры по каждой технике на основе 338 миллионов симуляций, проведенных в производственных средах заказчиков.
Источник: bleepingcomputer.com