SynkLoader: nowy malware rozprzestrzeniany przez phishing w Microsoft Teams

Wprowadzenie do problemu / definicja

SynkLoader to nowo zidentyfikowana rodzina złośliwego oprogramowania wykorzystywana w kampaniach phishingowych prowadzonych za pośrednictwem Microsoft Teams. Mechanizm ataku opiera się na podszywaniu się pod firmowy help desk IT i nakłanianiu pracownika do uruchomienia fałszywego instalatora, który inicjuje wieloetapowe wdrożenie malware’u. Szczególnie groźnym elementem kampanii jest moduł wyświetlający fałszywy ekran blokady systemu Windows w celu przechwycenia hasła użytkownika.

W skrócie

SynkLoader jest dystrybuowany w atakach ukierunkowanych z użyciem Microsoft Teams, gdzie napastnik udaje pracownika wsparcia technicznego. Ofiara otrzymuje polecenie pobrania i uruchomienia pliku MSI przedstawianego jako narzędzie naprawcze lub czyszczące. Po instalacji malware wdraża zestaw modułów służących do rekonesansu, utrzymania trwałości, zdalnej kontroli systemu, tunelowania ruchu i wyłudzania poświadczeń.

wejście przez wiadomość lub kontakt w Microsoft Teams,
uruchomienie fałszywego instalatora MSI,
wdrożenie komponentów PowerShell, Python, C# i C++,
pozyskanie poświadczeń przez fałszywy ekran blokady,
przygotowanie środowiska pod dalsze działania operatora.

Kontekst / historia

Ataki wykorzystujące Microsoft Teams jako kanał dostępu początkowego zyskują na znaczeniu wraz z rozwojem pracy hybrydowej i komunikacji międzytenantowej. Cyberprzestępcy coraz częściej podszywają się pod administratorów, service desk lub zewnętrzne wsparcie techniczne, aby skłonić pracowników do wykonania określonych działań na stacjach roboczych.

W przypadku SynkLoadera kampania wyróżnia się połączeniem socjotechniki z niestandardowym łańcuchem infekcji. Według analiz zagrożenie pojawiło się pod koniec lipca 2026 roku, a jego architektura sugeruje aktywny rozwój oraz dostosowywanie modułów do konkretnego środowiska ofiary. To charakterystyczne dla bardziej zaawansowanych operacji, w których początkowa infekcja jest jedynie etapem przygotowawczym do dalszej eskalacji dostępu.

Analiza techniczna

Łańcuch ataku rozpoczyna się od kontaktu w Microsoft Teams, gdzie napastnik podszywa się pod help desk IT. Następnie ofiara jest przekonywana do pobrania instalatora MSI hostowanego w infrastrukturze chmurowej, co ma zwiększyć wiarygodność operacji. Plik jest prezentowany jako legalne narzędzie administracyjne, co obniża czujność użytkownika.

Po uruchomieniu instalator rozpakowuje skrypt PowerShell oraz archiwum ZIP zawierające komponenty wykonawcze. SynkLoader wykorzystuje mieszankę technologii, łącząc Python, PowerShell, C# i C++. Taka konstrukcja utrudnia analizę, zwiększa elastyczność wdrażania funkcji i pozwala dobierać moduły do profilu przejętego środowiska.

Zidentyfikowane komponenty obejmują:

moduł profilowania systemu zbierający informacje o hoście, użytkowniku, procesach, usługach oraz domenie,
moduł trwałości tworzący zadanie harmonogramu uruchamiane przy logowaniu i cyklicznie,
moduł PhishLocker odpowiedzialny za wyświetlenie fałszywego ekranu blokady Windows,
moduł przekierowywania ruchu działający jako reverse proxy lub kanał tunelujący,
interaktywną powłokę do wykonywania poleceń PowerShell,
moduł zdalnego podglądu i sterowania pulpitem w stylu VNC,
skrypt raportujący stan uruchomionych modułów.

Najbardziej interesującym elementem technicznym jest PhishLocker. Zamiast klasycznego phishingu webowego malware prezentuje przekonujący, pełnoekranowy interfejs imitujący blokadę Windows 11. Użytkownik może uznać, że musi ponownie wprowadzić hasło do konta systemowego, choć w rzeczywistości nie jest to natywny ekran logowania, lecz aplikacja GUI działająca bez obramowania w trybie pełnoekranowym.

W praktyce oznacza to, że przechwycone hasło może zostać użyte do uzyskania dostępu do środowiska firmowego z wykorzystaniem legalnych danych logowania. W połączeniu z modułem tunelującym atakujący może poruszać się po sieci lub uzyskać dostęp do usług wewnętrznych z zainfekowanego hosta, nawet przy częściowych ograniczeniach dostępu opartych na adresach IP.

Konsekwencje / ryzyko

Ryzyko związane z SynkLoaderem wykracza poza typową infekcję pojedynczej stacji roboczej. To zagrożenie, które może prowadzić do przejęcia poświadczeń, utrzymania trwałego dostępu do systemu i przygotowania gruntu pod kolejne etapy intruzji.

przejęcie hasła użytkownika,
utrzymanie trwałości na punkcie końcowym,
rekonesans środowiska domenowego i Active Directory,
zdalne wykonywanie poleceń przez operatora,
tunelowanie ruchu do zasobów wewnętrznych,
obejście części kontroli opartych na zaufanych adresach IP,
przygotowanie do ruchu bocznego, eskalacji uprawnień i potencjalnego wdrożenia ransomware.

Szczególnie niepokojący jest nacisk na rozpoznanie skali środowiska Active Directory. Taki etap często poprzedza bardziej destrukcyjne działania, ponieważ pozwala ocenić wartość organizacji jako celu, liczbę systemów oraz możliwy zasięg dalszego ataku. SynkLoader należy więc traktować nie jako prosty dropper, ale jako narzędzie dostępu początkowego i rozwinięcia operacyjnego kompromitacji.

Rekomendacje

Organizacje powinny wdrożyć zarówno zabezpieczenia techniczne, jak i procedury operacyjne ograniczające skuteczność kampanii opartych na Microsoft Teams. Kluczowe znaczenie ma tu połączenie kontroli komunikacji, ograniczeń wykonywania kodu oraz edukacji użytkowników.

weryfikacja wszystkich nieoczekiwanych kontaktów od rzekomego help desku niezależnym kanałem,
blokowanie lub ścisłe ograniczenie komunikacji z zewnętrznymi tenantami w Teams, jeśli nie jest ona niezbędna biznesowo,
stosowanie ostrzeżeń i polityk ochrony dla zewnętrznych wiadomości, połączeń i linków w Teams,
ograniczenie możliwości uruchamiania nieautoryzowanych plików MSI oraz skryptów PowerShell,
wdrożenie allowlistingu dla narzędzi administracyjnych i interpreterów,
monitorowanie tworzenia zadań harmonogramu, nietypowych procesów PowerShell, bibliotek Python i podejrzanego ruchu wychodzącego,
wykrywanie reverse proxy, lokalnych tuneli i nietypowych połączeń z hostów użytkowników,
egzekwowanie metod MFA odpornych na phishing tam, gdzie to możliwe,
szkolenie pracowników, aby prośby o instalację narzędzi naprawczych z komunikatorów traktowali jako potencjalny incydent,
instruktaż dotyczący weryfikacji podejrzanego ekranu blokady za pomocą Ctrl+Alt+Delete lub przełączania okien zamiast wpisywania hasła.

Z perspektywy SOC i IR warto budować reguły detekcyjne oparte na korelacji zdarzeń, takich jak kontakt zewnętrzny w Teams, pobranie instalatora, uruchomienie MSI, wykonanie PowerShell i utworzenie scheduled task. Taki łańcuch może stanowić silny wskaźnik aktywnej kompromitacji.

Podsumowanie

SynkLoader pokazuje, że Microsoft Teams stał się realnym wektorem dostępu początkowego w atakach ukierunkowanych. Połączenie socjotechniki, legalnie wyglądającej infrastruktury hostującej oraz modułowego malware’u umożliwia skuteczne przejęcie stacji roboczej i poświadczeń użytkownika. Szczególnie groźny jest moduł fałszywego ekranu blokady, który przenosi phishing z przeglądarki bezpośrednio do środowiska systemowego ofiary. Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona komunikatorów korporacyjnych, walidacja działań help desku oraz monitoring nietypowych instalatorów i skryptów muszą stać się integralną częścią strategii obronnej.