SynkLoader, le malware qui utilise Microsoft Teams pour voler des identifiants et contrôler des PC

Un faux outil informatique distribué via Teams

Une nouvelle famille de logiciels malveillants baptisée SynkLoader a été révélée le 21 août 2026, après avoir été observée dans des campagnes de phishing menées via Microsoft Teams. Les opérateurs se font passer pour des membres du service informatique et convainquent la victime d’installer un prétendu outil de maintenance appelé « PowerShell Cleaner ».

Le logiciel est distribué sous la forme d’un fichier MSI hébergé sur Microsoft Azure. Le recours à une infrastructure cloud connue peut rendre le téléchargement moins suspect, mais ne traduit aucune implication de Microsoft dans cette campagne.

Les dates de compilation et les horodatages analysés situent la première compilation et la diffusion de SynkLoader autour du 28 juillet 2026. Le malware était donc opérationnel plusieurs semaines avant sa révélation.

L’attaque exploite la confiance accordée aux messages internes et aux prétendues interventions du support informatique. Une demande reçue via Teams peut sembler plus crédible qu’un e-mail classique, notamment lorsque l’attaquant connaît le nom de l’organisation ou emploie un langage correspondant à celui du service informatique.

Un installeur MSI qui dissimule plusieurs composants

L’installeur extrait un script PowerShell nommé cleaner.ps1 ainsi qu’une archive ZIP. Celle-ci contient le framework Python, un script Python malveillant, des bibliothèques précompilées et des DLL contrefaites imitant des environnements d’exécution Microsoft.

SynkLoader combine des composants écrits en Python, PowerShell, C# et C++. Un même module peut utiliser jusqu’à trois de ces langages, ce qui complique l’analyse et réduit l’efficacité d’une défense reposant sur le contrôle d’un seul type de fichier.

L’analyse a été menée après que les chercheurs ont déployé un honeypot capable de contacter le serveur de commande et de contrôle, ou C2, en simulant le comportement d’une victime réelle. L’opérateur a répondu par des activités de reconnaissance avant d’interrompre la connexion lorsqu’il a compris qu’il ne se trouvait pas dans un environnement authentique.

Les modules identifiés ne constituent pas uniquement une chaîne de collecte de données. Ensemble, ils offrent à l’attaquant une visibilité sur l’environnement, des mécanismes de persistance, un accès interactif et le contrôle à distance de la session Windows.

De la reconnaissance au contrôle à distance

Le module System Profiler collecte des informations sur l’ordinateur et le réseau. Les données recueillies comprennent notamment le nom d’hôte, le nom de l’utilisateur, le niveau de privilèges, les processus actifs, les services, l’appartenance à un domaine et le nombre d’ordinateurs présents dans Active Directory.

Ce dernier élément permet notamment d’évaluer la taille de l’organisation compromise. La présence d’une reconnaissance ciblant spécifiquement l’environnement Active Directory explique également pourquoi Marcus Hutchins, d’Expel, considère plausible l’utilisation de SynkLoader dans des opérations de ransomware.

Le Persistence Module crée une tâche planifiée portant un nom aléatoire. Celle-ci est exécutée à l’ouverture de session de l’utilisateur et chaque jour à 10 h, afin de relancer SynkLoader après un redémarrage ou une déconnexion.

Le module le plus insidieux pour le vol d’identifiants est PhishLocker. Il affiche un écran Windows contrefait, présenté comme un verrouillage de Windows 11, et demande le mot de passe du compte. Il ne s’agit toutefois pas d’un véritable verrouillage du système : l’écran est une application graphique sans bordure.

Cette caractéristique peut révéler sa nature. La combinaison Alt+Tab peut afficher les fenêtres actives et montrer que le prétendu verrouillage est en réalité un programme. Ctrl+Alt+Suppr peut également aider à vérifier l’authenticité de l’écran.

SynkLoader inclut aussi TrafficRedirector, qui met en place un proxy inverse. L’attaquant peut l’utiliser pour accéder à des services internes via l’ordinateur infecté ou pour faire transiter le trafic Internet par le poste compromis.

Les identifiants volés et le tunneling peuvent ainsi être exploités conjointement. Un attaquant pourrait utiliser l’accès depuis la machine infectée pour atteindre des ressources de l’entreprise et contourner les restrictions fondées sur des listes d’adresses IP autorisées.

Le module Interactive Shell, décrit comme un RAT, permet d’exécuter des commandes PowerShell et d’en recevoir les résultats. StreamMaster, basé sur VNC, transmet le bureau de la victime et permet de contrôler la souris et le clavier dans la session active.

Enfin, le Module Status Script indique quels modules et threads sont opérationnels. L’attaquant peut ainsi vérifier l’état de la compromission et choisir les fonctions à activer.

Pourquoi la menace est importante sur le plan opérationnel

SynkLoader regroupe des fonctions qui apparaissent habituellement à différentes étapes d’une intrusion : profilage, collecte d’identifiants, persistance, accès distant, tunneling et contrôle de session.

Le risque ne se limite pas au vol du mot de passe Windows. Des identifiants valides peuvent faciliter les mouvements latéraux, l’accès aux services internes et la collecte d’informations sur l’organisation. La capacité à interroger Active Directory fournit également aux opérateurs des éléments utiles pour sélectionner les cibles les plus intéressantes.

Pendant le test, l’opérateur a exécuté plusieurs commandes de reconnaissance avant de fermer la connexion. Un émulateur du module de reverse shell développé par les chercheurs a confirmé que l’accès était contrôlé manuellement, et non par une simple séquence automatisée.

Aucune classification officielle de la gravité ni aucun score CVSS n’ont été publiés. La menace présente toutefois un profil opérationnel élevé au regard des capacités disponibles après l’infection.

Les indicateurs publiés pour l’attaque observée doivent être utilisés avec prudence. Les hachages des modules varient d’une infection à l’autre et peuvent donc avoir une efficacité limitée s’ils constituent l’unique moyen de détection.

Comment se protéger et quoi surveiller

Les utilisateurs doivent vérifier par un canal indépendant toute demande semblant provenir du support informatique. Un message reçu via Teams ne doit pas être considéré comme fiable par défaut, en particulier lorsqu’il demande d’installer un fichier MSI ou de saisir un mot de passe.

Les fichiers MSI reçus sans préavis ou sans avoir été sollicités ne doivent pas être exécutés. Les organisations peuvent également limiter l’installation de logiciels aux comptes autorisés et contrôler les paquets avant leur déploiement.

En cas d’écran de verrouillage inattendu, Ctrl+Alt+Suppr et Alt+Tab peuvent fournir une première vérification. Si d’autres fenêtres apparaissent ou si le comportement ne correspond pas à celui attendu de Windows, l’ordinateur doit être isolé et signalé au service de sécurité.

Sur le plan technique, les équipes de défense doivent rechercher :

• des tâches planifiées portant des noms aléatoires ;
• des exécutions inhabituelles de PowerShell et la présence de cleaner.ps1 ;
• des archives ZIP contenant un environnement d’exécution Python et des DLL inhabituelles ;
• des connexions vers des serveurs C2 ;
• des proxys inverses et un trafic inattendu depuis le poste ;
• des requêtes anormales adressées à Active Directory ;
• l’utilisation de VNC ou d’outils de contrôle à distance non autorisés.

La détection ne doit pas reposer uniquement sur les hachages. Il est plus efficace de corréler la télémétrie des processus, les événements PowerShell, les tâches planifiées, les authentifications, les connexions réseau et le comportement des comptes.

Aucune version logicielle vulnérable spécifique n’a été signalée, car SynkLoader n’exploite pas une faille dans un produit : il s’appuie plutôt sur l’ingénierie sociale, des composants Windows légitimes et des services cloud pour obtenir l’exécution initiale.