Новая вредоносная программа SynkLoader распространяется через фишинговые атаки в Microsoft Teams

Новая вредоносная программа SynkLoader распространяется через фишинговые атаки в Microsoft Teams. СС0

Злоумышленники маскируются под сотрудников службы технической поддержки целевой организации — тактика, которую Microsoft ранее в этом году назвала всё более распространённой в многоэтапных атаках. Жертвам предлагают установить поддельный исполняемый файл «PowerShell Cleaner» в формате MSI, размещённый в облачном хранилище Microsoft Azure, что создаёт иллюзию легитимности загрузки.

Анализ вредоносного ПО показал, что первые скомпилированные образцы датируются примерно 28 июля 2026 года. Установщик извлекает PowerShell-скрипт cleaner.ps1 и ZIP-архив, содержащий фреймворк Python, вредоносный Python-скрипт, предварительно скомпилированные библиотеки и несколько поддельных DLL-файлов среды выполнения Microsoft. SynkLoader получил своё название из-за необычного сочетания языков — Python, PowerShell, C# и C++ иногда объединяются в одном модуле, что делает анализ и обнаружение сложнее.

После активации вредонос устанавливает связь с сервером управления и контроля, а затем может загружать различные модули в зависимости от целей атакующих. Среди выявленных компонентов — системный профилировщик для сбора информации об окружении, модуль сохранения состояния, создающий запланированную задачу для автоматического запуска при входе пользователя, и PhishLocker — поддельный экран блокировки Windows, который перехватывает пароль жертвы.

Также обнаружены модуль для создания обратного прокси-доступа к внутренним сетям, интерактивная оболочка для удалённого выполнения команд, VNC-модуль для трансляции рабочего стола и удалённого управления, а также скрипт для мониторинга состояния активных модулей.

Наиболее опасным компонентом исследователи называют PhishLocker, который отображает убедительную имитацию экрана блокировки Windows 11. Однако, как отмечает Expel, подлинность можно проверить простым сочетанием Alt+Tab — оно открывает активные окна поверх поддельного экрана, обнажая его природу как полноэкранного приложения без рамок.

По мнению экспертов, SynkLoader, вероятно, используется в операциях по вымогательству, поскольку ориентирован на сбор информации об инфраструктуре Active Directory. Expel предоставила индикаторы компрометации, хотя предупреждает, что хеши модулей уникальны для каждой инфекции и малопригодны для обнаружения. В качестве защиты рекомендуется независимо проверять любые запросы от «техподдержки» и избегать установки непрошеных MSI-файлов, а при появлении неожиданного экрана блокировки — проверять его сочетанием Ctrl+Alt+Delete или Alt+Tab.