Eine neu identifizierte Bedrohung namens SynkLoader-Malware verbreitet sich über Phishing-Kampagnen in Microsoft Teams. Angreifer geben sich als IT-Support von Unternehmen aus und versuchen, Mitarbeiter zur Installation eines gefälschten Softwaretools zu bewegen.
Forscher von Expel erklärten, dass die Kampagne Opfer zu einem schädlichen MSI-Installationsprogramm führt, das als „PowerShell Cleaner“ präsentiert wird. Die Datei wird in Microsoft Azure gehostet, wodurch der Download vertrauenswürdiger erscheinen kann.
Gefälschte IT-Anfragen führen zu schädlichem Installationsprogramm
Die Angreifer kontaktieren ihre Ziele über Microsoft Teams und geben sich dabei als IT-Support der jeweiligen Organisation aus. Die Nachahmung von Helpdesk-Mitarbeitern ist zu einer gängigen Taktik bei mehrstufigen Angriffen geworden, da sie Kriminellen einen direkten Zugang zu Mitarbeitern ermöglicht.
Das Installationsprogramm extrahiert ein PowerShell-Skript und ein ZIP-Archiv, das ein Python-Framework, schädliche Skripte, kompilierte Bibliotheken und gefälschte Microsoft-Runtime-Dateien enthält.
Den Forschern zufolge scheint die Malware erstmals um den 28. Juli 2026 kompiliert und verbreitet worden zu sein.
SynkLoader kombiniert mehrere Programmiersprachen
Die SynkLoader-Malware verdankt ihren Namen ihrem ungewöhnlichen technischen Aufbau. Ihre Module können Python, PowerShell, C# und C++ kombinieren und verwenden teilweise drei Programmiersprachen innerhalb einer einzigen Komponente.
Die Malware setzt abhängig von der Umgebung des Opfers und den Zielen der Angreifer unterschiedliche Module ein.
Ein Modul zur Systemprofilierung sammelt Informationen wie Computername, Benutzername, Berechtigungsstufe, laufende Prozesse, Dienste und Active-Directory-Daten. Es kann außerdem die Größe des Netzwerks der Organisation überprüfen.
Eine weitere Komponente erstellt eine geplante Aufgabe mit einem zufälligen Namen. Diese Aufgabe startet die Malware, wenn sich der Benutzer anmeldet, sowie erneut jeden Tag um 10 Uhr. Dadurch können die Angreifer ihren Zugriff aufrechterhalten.
Gefälschter Sperrbildschirm stiehlt Windows-Passwörter
Die auffälligste SynkLoader-Komponente trägt den Namen PhishLocker. Sie zeigt einen überzeugend gefälschten Windows-Sperrbildschirm an und versucht, das Kontopasswort des Opfers abzugreifen.
Sobald die Angreifer das Passwort erhalten haben, können sie es mit den Netzwerk-Tunneling-Tools der Malware kombinieren, um auf interne Unternehmensdienste zuzugreifen. Dies könnte ihnen helfen, IP-basierte Zulassungslisten zu umgehen, die unbekannte Verbindungen normalerweise blockieren würden.
Der gefälschte Bildschirm ist keine echte Windows-Sicherheitsfunktion. Es handelt sich um eine Vollbildanwendung, sodass Benutzer die dahinterliegenden Fenster durch Drücken von Alt+Tab sichtbar machen können.
Fernzugriffsmodule können den Angriff ausweiten
SynkLoader enthält mehrere Tools, die Angreifern weitreichende Kontrolle über einen infizierten Computer ermöglichen. Ein Reverse-Proxy-Modul kann interne Dienste zugänglich machen oder Internetverkehr über den Computer des Opfers leiten.
Die Malware enthält außerdem eine interaktive Remote-Shell zum Ausführen von PowerShell-Befehlen. Ihre VNC-Komponente kann den Desktop streamen und Angreifern die Kontrolle über Maus und Tastatur ermöglichen.
Forscher von Expel erklärten, dass SynkLoaders Fokus auf die Profilierung von Active Directory darauf hindeutet, dass die Betreiber die Malware möglicherweise bei Ransomware-bezogenen Angriffen einsetzen. Die Ermittlung der Größe und Struktur eines Unternehmensnetzwerks kann Kriminellen dabei helfen, wertvolle Ziele zu identifizieren.
So lässt sich das Risiko durch Teams-Phishing reduzieren
Mitarbeiter sollten unerwartete IT-Anfragen unabhängig überprüfen, insbesondere Nachrichten, in denen sie zum Herunterladen oder Installieren von Software aufgefordert werden. Ein legitimes Supportteam sollte die Anfrage über einen bekannten Unternehmenskanal bestätigen können.
Benutzer sollten keine unaufgefordert zugesandten MSI-Dateien installieren, selbst wenn ein Link scheinbar von einem vertrauenswürdigen Cloud-Dienst stammt.
Wenn unerwartet ein Sperrbildschirm erscheint, können Ctrl+Alt+Delete oder Alt+Tab dabei helfen festzustellen, ob es sich um einen echten Windows-Bildschirm oder eine schädliche Anwendung handelt. Sicherheitsteams sollten außerdem unerwartete geplante Aufgaben, verdächtige PowerShell-Aktivitäten und ungewöhnliche Fernzugriffsverbindungen untersuchen.
0 Kommentare zu „SynkLoader-Malware nutzt Teams-Phishing und gefälschten Sperrbildschirm“