SynkLoader: Die Malware nutzt Microsoft Teams zum Diebstahl von Zugangsdaten und zur Fernsteuerung von PCs

Ein gefälschtes IT-Tool, das über Teams verbreitet wird

Eine neue Malware-Familie namens SynkLoader wurde am 21. August 2026 bekannt, nachdem sie in Phishing-Kampagnen über Microsoft Teams beobachtet worden war. Die Angreifer geben sich als Mitarbeiter der IT-Abteilung aus und überzeugen die Opfer, ein angebliches Wartungsprogramm namens „PowerShell Cleaner“ zu installieren.

Die Software wird als MSI-Datei verteilt und auf Microsoft Azure gehostet. Die Nutzung einer bekannten Cloud-Infrastruktur kann den Download weniger verdächtig erscheinen lassen, bedeutet jedoch nicht, dass Microsoft an der Kampagne beteiligt ist.

Aus den analysierten Kompilierungsdaten und Zeitstempeln geht hervor, dass SynkLoader erstmals um den 28. Juli 2026 kompiliert und verbreitet wurde. Die Malware war somit bereits mehrere Wochen vor ihrer Veröffentlichung aktiv.

Der Angriff nutzt das Vertrauen in interne Nachrichten und vermeintliche Helpdesk-Maßnahmen aus. Eine über Teams eingehende Anfrage kann glaubwürdiger wirken als eine gewöhnliche E-Mail – insbesondere dann, wenn der Angreifer den Namen der Organisation kennt oder eine für die IT-Abteilung typische Sprache verwendet.

Ein MSI-Installer, der mehrere Komponenten verbirgt

Der Installer extrahiert ein PowerShell-Skript namens cleaner.ps1 sowie ein ZIP-Archiv. Darin befinden sich das Python-Framework, ein bösartiges Python-Skript, vorkompilierte Bibliotheken und gefälschte DLLs, die Microsoft-Runtimes nachahmen.

SynkLoader kombiniert Komponenten aus Python, PowerShell, C# und C++. Ein einzelnes Modul kann bis zu drei dieser Sprachen verwenden. Das erschwert die Analyse und macht Schutzmaßnahmen weniger wirksam, die sich nur auf einen bestimmten Dateityp konzentrieren.

Die Analyse wurde möglich, nachdem die Forscher ein Honeypot-System eingerichtet hatten, das den Kontakt zum Command-and-Control-Server ( C2 ) herstellte und das Verhalten eines echten Opfers simulierte. Der Betreiber reagierte mit Aufklärungsaktivitäten und brach die Verbindung ab, als er erkannte, dass es sich nicht um eine authentische Umgebung handelte.

Die identifizierten Module bilden nicht nur eine Kette zur Datensammlung. Zusammen verschaffen sie dem Angreifer Einblick in die Umgebung, Persistenz, interaktiven Zugriff und die Fernsteuerung einer Windows-Sitzung.

Von der Aufklärung zur Fernsteuerung

Das Modul System Profiler sammelt Informationen über den Computer und das Netzwerk. Zu den erfassten Daten gehören Hostname, Benutzername, Berechtigungsstufe, laufende Prozesse, Dienste, Domänenzugehörigkeit sowie die Anzahl der Computer in Active Directory.

Letzteres hilft dabei, die Größe der kompromittierten Organisation einzuschätzen. Die gezielte Erkundung der Active-Directory-Umgebung ist zudem einer der Gründe, weshalb Marcus Hutchins von Expel einen Einsatz von SynkLoader im Rahmen von Ransomware-Operationen für plausibel hält.

Das Persistence Module erstellt eine geplante Aufgabe mit einem zufällig erzeugten Namen. Die Aufgabe wird bei der Benutzeranmeldung und täglich um 10:00 Uhr ausgeführt, um SynkLoader nach einem Neustart oder einer Abmeldung erneut zu starten.

Das für den Diebstahl von Zugangsdaten besonders gefährliche Modul heißt PhishLocker. Es zeigt einen gefälschten Windows-Bildschirm an, der als Sperrbildschirm von Windows 11 gestaltet ist, und fordert das Kontokennwort an. Tatsächlich wird das System jedoch nicht gesperrt: Bei dem Bildschirm handelt es sich um eine rahmenlose grafische Anwendung.

Diese Eigenschaft kann die Täuschung verraten. Mit Alt+Tab lassen sich aktive Fenster anzeigen und es kann erkennbar werden, dass es sich bei der vermeintlichen Sperre in Wirklichkeit um ein Programm handelt. Auch Strg+Alt+Entf kann dabei helfen, die Echtheit des Bildschirms zu überprüfen.

SynkLoader enthält außerdem TrafficRedirector, das einen Reverse Proxy einrichtet. Der Angreifer kann damit über den infizierten Computer auf interne Dienste zugreifen oder den Internetverkehr über das kompromittierte System leiten.

Gestohlene Zugangsdaten und Tunneling können somit zusammenwirken. Ein Angreifer könnte den Zugriff vom infizierten Rechner nutzen, um Unternehmensressourcen zu erreichen und Beschränkungen zu umgehen, die auf Listen zulässiger IP-Adressen basieren.

Das als RAT beschriebene Modul Interactive Shell ermöglicht die Ausführung von PowerShell-Befehlen und den Empfang der Ergebnisse. StreamMaster, das auf VNC basiert, überträgt den Desktop des Opfers und erlaubt die Steuerung von Maus und Tastatur innerhalb der aktiven Sitzung.

Das Module Status Script meldet schließlich, welche Module und Threads aktiv sind. So kann der Angreifer den Status der Kompromittierung überprüfen und entscheiden, welche Funktionen aktiviert werden sollen.

Warum die Bedrohung operativ relevant ist

SynkLoader vereint Funktionen, die bei Angriffen normalerweise in unterschiedlichen Phasen auftreten: Profiling, Zugangsdaten-Diebstahl, Persistenz, Fernzugriff, Tunneling und Sitzungssteuerung.

Das Risiko beschränkt sich nicht auf den Diebstahl des Windows-Kennworts. Gültige Zugangsdaten können laterale Bewegungen, den Zugriff auf interne Dienste und die Sammlung von Informationen über die Organisation erleichtern. Die Fähigkeit, Active Directory zu untersuchen, liefert den Betreibern außerdem wichtige Hinweise zur Auswahl besonders wertvoller Ziele.

Während des Tests führte der Betreiber mehrere Aufklärungsbefehle aus, bevor er die Verbindung beendete. Ein von den Forschern entwickelter Emulator für das Reverse-Shell-Modul bestätigte, dass der Zugriff manuell und nicht nur durch eine automatisierte Sequenz gesteuert wurde.

Eine formale Schweregradbewertung oder ein CVSS-Score wurde nicht veröffentlicht. Aufgrund der nach der Infektion verfügbaren Funktionen weist die Bedrohung jedoch ein hohes operatives Risiko auf.

Die für den beobachteten Angriff veröffentlichten Indikatoren sollten mit Vorsicht eingesetzt werden. Die Hashes der Module unterscheiden sich zwischen einzelnen Infektionen und sind daher als alleinige Erkennungsmethode nur eingeschränkt wirksam.

Schutzmaßnahmen und wichtige Überwachungsindikatoren

Benutzer sollten jede vermeintlich vom Helpdesk stammende Anfrage über einen unabhängigen Kommunikationskanal überprüfen. Eine über Teams eingehende Nachricht sollte nicht automatisch als vertrauenswürdig gelten – insbesondere dann nicht, wenn sie zur Installation einer MSI-Datei oder zur Eingabe eines Kennworts auffordert.

Unaufgefordert oder ohne vorherige Ankündigung erhaltene MSI-Dateien sollten nicht ausgeführt werden. Organisationen können die Softwareinstallation außerdem auf autorisierte Konten beschränken und Pakete vor ihrer Verteilung überprüfen.

Bei einem unerwarteten Sperrbildschirm können Strg+Alt+Entf und Alt+Tab eine erste Überprüfung ermöglichen. Werden andere Fenster angezeigt oder entspricht das Verhalten nicht dem erwarteten Verhalten von Windows, sollte der Computer isoliert und dem Sicherheitsteam gemeldet werden.

Auf technischer Ebene sollten Abwehrteams insbesondere nach Folgendem suchen:

• geplante Aufgaben mit zufälligen Namen;
• ungewöhnliche PowerShell-Ausführungen und das Vorhandensein von cleaner.ps1;
• ZIP-Archive mit Python-Runtimes und ungewöhnlichen DLLs;
• Verbindungen zu C2-Servern;
• Reverse Proxies und unerwarteten Datenverkehr vom Arbeitsplatzrechner;
• ungewöhnliche Abfragen von Active Directory;
• die Nutzung von VNC oder nicht autorisierten Fernsteuerungsprogrammen.

Die Erkennung sollte sich nicht ausschließlich auf Hashes stützen. Effektiver ist die Kombination aus Prozess-Telemetrie, PowerShell-Ereignissen, geplanten Aufgaben, Authentifizierungen, Netzwerkverbindungen und dem Verhalten der Benutzerkonten.

Es wurden keine spezifischen, verwundbaren Softwareversionen genannt, da SynkLoader keine Schwachstelle in einem Produkt ausnutzt. Stattdessen verwendet die Malware Social Engineering, legitime Windows-Komponenten und Cloud-Dienste, um die erstmalige Ausführung zu erreichen.