SynkLoader: Die Malware, die Passwörter stiehlt und den Weg für Ransomware ebnet

Neues Multi-Tool für den Erstzugriff entdeckt

Die Forscher von Expel unter der Leitung von Marcus Hutchins haben eine neue, hochentwickelte Malware-Familie identifiziert und benannt: SynkLoader. Der Name leitet sich von der englischen Redewendung „everything but the kitchen sink“ ab – also „alles außer dem Spülbecken“ – und wurde zu „Synk“ verballhornt. Die Wahl ist kein Zufall: Das Programm integriert eine breite Palette von Taktiken und Modulen, die darauf ausgelegt sind, in Unternehmenssysteme einzudringen – vom Diebstahl von Zugangsdaten bis zur Fernsteuerung des Desktops.

Das endgültige Ziel bleibt unbekannt, aber verschiedene Elemente im Code deuten darauf hin, dass es sich um das Werk einer Ransomware-Gruppe oder eines Initial Access Brokers (IAB) handelt, also eines Akteurs, der den Erstzugriff auf kompromittierte Netzwerke verkauft. Die Kompilierungs-Metadaten deuten auf eine erste Verwendung am 28. Juli hin; die erste dokumentierte Beobachtung in einem Kundennetzwerk erfolgte am 18. August.

Die Täuschung beginnt mit einem legitimen Microsoft-365-Mandanten

Der von Expel analysierte Vorfall begann mit einer besonders hinterhältigen Phishing-E-Mail. Anstatt auf ähnliche Unternehmensdomains (Typosquatting) zurückzugreifen, registrierten die Angreifer einen eigenen Microsoft-365-Mandanten und kontaktierten das Opfer über eine Adresse auf der Standard-Domain onmicrosoft.com. Dabei gaben sie sich als unternehmenseigener IT-Service-Desk aus.

Sie forderten die Installation eines gefälschten PowerShell-Wartungstools an. Der Installer wurde auf einer offiziellen Microsoft-Azure-Speicherseite gehostet und nutzte die Marke Microsoft, um die Glaubwürdigkeit zu erhöhen. Dieser Ansatz macht es für Benutzer und Filter wesentlich schwieriger, die bösartige Kommunikation von einer legitimen Anfrage zu unterscheiden.

Ein modulares Arsenal: Python, DLLs und COM zur Umgehung von EDR

Der SynkLoader-Installer verteilt mehrere Komponenten: ein PowerShell-Skript, das Anweisungen im temporären Speicher ausführt, eine minimale Python-Umgebung, ein bösartiges Python-Skript, das mit den Command-and-Control-Domains (C2) kommuniziert, sowie mehrere gefälschte Microsoft-Laufzeit-DLLs.

Der Einsatz von Python ist strategisch. Historisch gesehen ist vollständig in Python geschriebene Malware nicht sehr verbreitet, sodass einige Signale von EDR-Tools (Endpoint Detection and Response) reduziert werden. Da Python keine native Windows-Sprache ist, bringt die Malware native C/DLL-Komponenten mit, die Verhaltensweisen ermöglichen, die direkt in Python nicht realisierbar sind. So entsteht eine Brücke, um bösartige Aktionen innerhalb eines Python-Prozesses auszuführen.

Die DLL-Module umfassen:

• System-Profiler: sammelt laufende Prozesse und Dienste, Berechtigungen des lokalen Benutzers, den Namen der Active-Directory-Domain (AD) und die Anzahl weiterer Computer im AD-Netzwerk. Hutchins betont, dass die Messung der Größe des Opfernetzwerks typisch für opportunistische Ransomware-Gruppen ist, während eine APT (Advanced Persistent Threat) die Zielorganisation bereits kennt.
• Persistenz: erstellt eine wiederkehrende geplante Windows-Aufgabe. Statt die Aufgabenplanung über die Kommandozeile aufzurufen, interagiert es direkt mit der Windows-COM-Schnittstelle – fast sicher, um die Erkennungsmerkmale von EDR-Systemen zu umgehen.
• RAT (Remote Access Trojan): fungiert als Fernzugriffs-Trojaner.
• Desktop-Steuerung: überträgt den Desktop des Opfers und ermöglicht die Steuerung von Maus und Tastatur.
• Reverse-Proxy: nutzt die IP-Adresse des Opferrechners, um Internetverkehr umzuleiten und interne Dienste zu erreichen, die sonst nur aus dem LAN der Organisation zugänglich wären.
• PhishLocker: die unerwartetste Komponente, die im Folgenden beschrieben wird.

PhishLocker, die gefälschte Bildschirmsperre, die das Windows-Passwort erpresst

Früher verwendeten Locker JavaScript, um den Browser in den Vollbildmodus zu zwingen und das Verlassen ohne Zugangsdaten oder Zahlung zu verhindern: eine der ersten Formen von Ransomware. Sie wurden auch für Phishing eingesetzt, indem sie beispielsweise einen Outlook-Client in HTML simulierten, um Anwendungspasswörter zu stehlen. Organisationen hatten die Browserfunktion, die dies ermöglichte, inzwischen entfernt.

SynkLoader bringt die Bildschirmsperre über eine DLL zurück. Die DLL enthält eine aufwendige GUI, die den Windows-Sperrbildschirm imitiert und vom Original kaum zu unterscheiden ist. PhishLocker hindert das Opfer daran, den Bildschirm zu verlassen, bis es das Passwort des Windows-Kontos eingibt. Derzeit verfügt die Malware über keine Prüfung der Korrektheit des eingegebenen Passworts.

Laut Hutchins ist dies ein effektiver Weg, um an das Systempasswort zu gelangen – insbesondere in Netzwerken, die auf SSO (Single Sign-On) basieren, wo das Anmeldekennwort des Computers mit dem der Unternehmensdienste übereinstimmt. Dies verschafft den Angreifern mächtige Zugangsdaten für laterale Bewegungen.

Hinweise auf eine Ransomware-Gruppe oder einen Access Broker

Es wird keine formale Schweregradbewertung vergeben, aber die Kombination der Fähigkeiten – In-Memory-Ausführung, Persistenz über COM, RAT, Desktop-Steuerung, Reverse-Proxy und Diebstahl von Windows-Passwörtern – deutet auf ein hohes Risiko hin.

Das Ziel ist nicht bestätigt, aber der Code und der Netzwerk-Profiler legen nahe, dass SynkLoader das Werk einer Ransomware-Gruppe oder eines Initial Access Brokers (IAB) sein könnte, der eingesetzt wird, um einen späteren Ransomware-Angriff vorzubereiten. Die potenziellen Auswirkungen umfassen die Kompromittierung von Unternehmenszugangsdaten in SSO-Umgebungen, laterale Bewegungen, Zugriff auf interne Dienste und Störungen durch die Bildschirmsperre.

Was Verteidiger tun können: Indikatoren und Kontrollen

Vollständige Gegenmaßnahmen sind noch nicht bekannt gegeben worden, aber Expel weist auf einige nützliche Indikatoren hin. Der wichtigste ist das Vorhandensein einer fehl am Platz wirkenden Python-Executable in nicht standardmäßigen Pfaden oder in AppData. Da die Persistenz COM anstelle der Aufgabenplanung über die Kommandozeile verwendet, kann die Überwachung von über COM erstellten geplanten Aufgaben helfen, anomales Verhalten zu erkennen.

Im Hinblick auf den initialen Vektor können die E-Mail, die den IT-Service-Desk von einer onmicrosoft.com-Domain aus imitierte, und der auf Azure Storage gehostete Installer in E-Mail- und Web-Kontrollen einfließen: die Legitimität der Absender überprüfen, verdächtige Anfragen zur Installation von Tools blockieren oder melden und Downloads aus nicht unternehmenseigenen Cloud-Speicher-Domains kontrollieren.

Die Entdeckung von SynkLoader fügt der wachsenden Raffinesse von Angriffen, die Ransomware vorausgehen, einen weiteren Baustein hinzu: modulare Werkzeuge, Missbrauch legitimer Cloud-Dienste und immer gezieltere Umgehungstechniken. Für Verteidiger kann das Beobachten schwacher Signale – ein Python-Prozess in einem ungewöhnlichen Ordner, eine über COM erstellte geplante Aufgabe – den Unterschied ausmachen, bevor der Zugriff in einen konkreten Angriff umgewandelt wird.