// PUNTO INFORMATICO — CYBERSECURITY
SynkLoader: nuovo malware distribuito tramite Microsoft Teams
I ricercatori di Expel hanno descritto una nuova campagna di phishing che prende di mira gli utenti aziendali. Ignoti cybercriminali usano Microsoft Teams per contattare le ignare vittime fingendo di essere dipendenti del team di supporto IT. Viene quindi suggerito di scaricare un tool che installa SynkLoader, un malware con sette moduli in grado di eseguire diverse attività pericolose.
Il presunto dipendente del team di supporto IT ha convinto un utente a scaricare un file MSI da Microsoft Azure. Apparentemente sembra il tool PowerShell Cleaner. Invece copia diversi file sul computer, uno dei quali è lo script PowerShell cleaner.ps1 che viene automaticamente eseguito e scarica un archivio ZIP contenente il framework Python, uno script Python, librerie Python precompilate e diverse DLL di runtime Microsoft false.
Questi componenti vengono sfruttati dai sette moduli di SynkLoader. Il primo è un System Profiler, quindi raccoglie diverse informazioni, come username, hostname, livello di privilegi, processi in esecuzione, servizi e numero di computer in Active Directory. Un secondo modulo crea la persistenza tramite attività pianificata (avvio automatico del malware ogni giorno).
Ci sono inoltre moduli che indicano l’esecuzione, creano reverse proxy, consentono l’esecuzione di comandi remoti ed effettuano lo stream del desktop (i cybercriminali vedono tutto in tempo reale). Il modulo più interessante è PhishLocker. Permette di intercettare la password dell’account Windows attraverso un lock screen fasullo di Windows 11.
I cybercriminali possono utilizzare la password insieme al modulo di tunneling per accedere agli ambienti aziendali dal dispositivo infetto, aggirando le restrizioni delle liste di indirizzi IP consentiti. Il falso lock screen è tuttavia solo un’app GUI senza bordi a schermo intero, quindi è sufficiente usare la combinazione Alt+Tab per scoprire l’inganno (non possibile con un vero lock screen).
I ricercatori di Expel non hanno trovato indizi sullo scopo finale dei cybercriminali, oltre alla raccolta di informazioni e all’accesso remoto. Probabilmente l’intenzione è installare un ransomware e chiedere il riscatto per decifrare i file.