Een nieuwe malwarefamilie, SynkLoader genaamd, wordt verspreid via phishingcampagnes in Microsoft Teams om inloggegevens te stelen middels een nepschermvergrendeling.

De aanvaller doet zich voor als de IT-helpdesk van het doelwitbedrijf, een tactiek die Microsoft eerder dit jaar als steeds gebruikelijker bestempelde bij complexe aanvallen.

Marcus Hutchins, beveiligingsonderzoeker bij Expel, legt uit dat de aanvallen slachtoffers verleiden om een nepexecutable "PowerShell Cleaner" te installeren, gehost op Microsoft Azure, waardoor de download betrouwbaar lijkt.

Analyse van de malware laat zien dat het voor het eerst rond 28 juli 2026 is gecompileerd en verspreid.

De installer pakt een PowerShell-script (cleaner.ps1) en een ZIP-archief uit met een Pythonframework, kwaadaardig Python-script, vooraf gecompileerde Python-bibliotheken en diverse valse Microsoft DLL’s.

Aanvallers kiezen, op basis van de kwetsbare omgeving en operationele doelen, welke modules worden ingezet.

De naam SynkLoader komt door de ongewone combinatie van Python, PowerShell, C#, en C++, waarbij soms drie programmeertalen in één module worden gebruikt.

Expel heeft, door een honeypot op te zetten die de aanvaller nabootst, de volgende SynkLoader-modules geïdentificeerd:

• Systeemprofiler: Verzamelt systeemgegevens zoals hostnaam en actieve processen.
• Persistentie Module: Creëert een willekeurig benoemde taak die SynkLoader bij aanmelding en dagelijks om 10 uur start.
• PhishLocker: Toont een geloofwaardig nepscherm om wachtwoorden te stelen.
• TrafficRedirector: Maakt een omgekeerde proxy aan voor toegang tot netwerkdiensten.
• Interacitve Shell (RAT): Laat aanvallers op afstand PowerShell-commando’s uitvoeren.
• StreamMaster (VNC): Streamt het bureaublad van het slachtoffer en biedt bediening op afstand.
• Module Status Script: Meldt welke malwaremodules actief zijn.

Nep Windows 11-schermvergrendeling

PhishLocker is bijzonder interessant omdat het wachtwoorden probeert te bemachtigen via een nepscherm. Dit kan aanvallers, samen met het tunnelingmodule, toegang geven tot bedrijfsomgevingen vanaf het geïnfecteerde apparaat, zonder IP-beperkingen te respecteren.

Hoewel het vergrendelingsscherm overtuigend lijkt, kun je met Alt+Tab de actieve vensters boven het scherm onthullen, wat slechts een "volledig scherm zonder randen" applicatie blijkt.

Volgens Hutchins is SynkLoader waarschijnlijk bedoeld voor ransomware-operaties gezien de focus op Active Directory-omgevingen.

"We hebben een emulator voor het reverse shell-module geschreven om te bevestigen dat het om een hands-on-keyboard-aanval ging," zegt de onderzoeker.

Expel heeft aanwijzingen voor compromittatie (IoCs) voor de waargenomen aanval gegeven, maar merkt op dat de SynkLoader-module hashes uniek zijn per infectie en daardoor minder nuttig voor verdediging.

De beste praktijk is om IT-verzoeken onafhankelijk te verifiëren en geen ongewenste MSI-bestanden te installeren.

Bij onverwachte schermvergrendelingen kun je Ctrl+Alt+Delete of Alt+Tab proberen om de authenticiteit te verifiëren.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.