SynkLoader : le malware qui vole les mots de passe et prépare le terrain au ransomware

Découverte d'un nouveau multi-outil pour l'accès initial

Les chercheurs d'Expel, dirigés par Marcus Hutchins, ont identifié et baptisé une nouvelle famille de logiciels malveillants sophistiquée : SynkLoader. Le nom provient de l'expression anglaise « everything but the kitchen sink » – tout sauf l'évier de la cuisine – déformée en « Synk ». Ce choix n'est pas anodin : le programme intègre un large éventail de tactiques et de modules conçus pour s'infiltrer dans les systèmes d'entreprise, du vol d'identifiants au contrôle à distance du bureau.

Le but final reste inconnu, mais plusieurs éléments du code suggèrent qu'il est l'œuvre d'un groupe de ransomware ou d'un courtier d'accès initial (IAB), c'est-à-dire un acteur qui vend l'accès initial à des réseaux compromis. Les métadonnées de compilation indiquent une première utilisation probable le 28 juillet ; la première observation documentée dans un réseau client a eu lieu le 18 août.

La tromperie part d'un tenant Microsoft 365 légitime

L'incident initial analysé par Expel a débuté par un e-mail de phishing particulièrement insidieux. Au lieu d'utiliser des domaines similaires à ceux de l'entreprise (typosquatting), les attaquants ont enregistré leur propre tenant Microsoft 365 et ont contacté la victime en utilisant une adresse sur le domaine par défaut onmicrosoft.com, en se faisant passer pour le service d'assistance informatique de l'entreprise.

Ils ont demandé l'installation d'un faux outil de maintenance PowerShell. L'installateur était hébergé sur une page officielle de stockage Microsoft Azure, exploitant la marque Microsoft pour accroître la crédibilité. Cette approche rend beaucoup plus difficile pour les utilisateurs et les filtres de distinguer la communication malveillante d'une demande légitime.

Un arsenal modulaire : Python, DLL et COM pour contourner l'EDR

L'installateur SynkLoader distribue plusieurs composants : un script PowerShell qui exécute les instructions en mémoire temporaire, un environnement Python minimal, un script Python malveillant qui communique avec les domaines de commande et contrôle (C2) et plusieurs fausses DLL runtime Microsoft.

L'utilisation de Python est stratégique. Historiquement, les logiciels malveillants écrits entièrement en Python ne sont pas très répandus, donc certains signaux des outils EDR (Endpoint Detection and Response) sont réduits. Comme Python n'est pas un langage natif de Windows, le malware embarque des composants natifs en C/DLL qui permettent des comportements impossibles à réaliser directement en Python, créant un pont pour exécuter des actions malveillantes au sein d'un processus Python.

Les modules DLL incluent :

• Profileur système : collecte les processus et services en cours d'exécution, les privilèges de l'utilisateur local, le nom du domaine Active Directory (AD) et le nombre d'autres ordinateurs appartenant au réseau AD. Hutchins souligne que mesurer la taille du réseau victime est typique des groupes de ransomware opportunistes, alors qu'un APT (Advanced Persistent Threat) connaît déjà l'organisation ciblée.
• Persistance : crée une tâche planifiée Windows récurrente. Au lieu d'invoquer l'utilitaire de planification depuis la ligne de commande, il interagit directement avec l'interface COM de Windows, presque certainement pour éviter les alertes des EDR.
• RAT (Remote Access Trojan) : agit comme un cheval de Troie d'accès à distance.
• Contrôle du bureau : transmet le bureau de la victime et permet le contrôle de la souris et du clavier.
• Proxy inverse : exploite l'adresse IP de l'ordinateur victime pour acheminer le trafic Internet et atteindre des services internes autrement accessibles uniquement depuis le LAN de l'organisation.
• PhishLocker : le composant le plus inattendu, décrit ci-dessous.

PhishLocker, le faux verrouillage d'écran qui extorque le mot de passe Windows

Par le passé, les verrouilleurs utilisaient JavaScript pour forcer le navigateur en plein écran et empêchaient la sortie sans identifiants ou paiement : l'une des premières formes de ransomware. Ils étaient également utilisés pour le phishing, en simulant par exemple un client Outlook en HTML pour voler des mots de passe applicatifs. Les organisations avaient supprimé la fonctionnalité du navigateur qui le permettait.

SynkLoader ramène le verrouillage d'écran via une DLL. La DLL contient une interface graphique élaborée qui imite l'écran de verrouillage de Windows, presque indiscernable de l'original. PhishLocker empêche la victime de sortir tant qu'elle n'a pas fourni le mot de passe du compte Windows. Actuellement, le malware ne dispose pas d'un contrôle de la validité du mot de passe saisi.

Selon Hutchins, c'est un moyen efficace d'obtenir le mot de passe système, en particulier dans les réseaux basés sur SSO (Single Sign-On) où le mot de passe de connexion à l'ordinateur coïncide avec celui des services d'entreprise. Cela offre aux attaquants des identifiants puissants pour le déplacement latéral.

Indices d'un groupe ransomware ou d'un courtier d'accès

Aucun score de gravité formel n'est fourni, mais la combinaison de capacités – exécution en mémoire, persistance via COM, RAT, contrôle du bureau, proxy inverse et vol de mots de passe Windows – indique un risque élevé.

Le but n'est pas confirmé, mais le code et le profileur réseau suggèrent que SynkLoader pourrait être l'œuvre d'un groupe ransomware ou d'un courtier d'accès initial (IAB) utilisé pour préparer une attaque ransomware ultérieure. L'impact potentiel inclut la compromission des identifiants d'entreprise dans des environnements SSO, le déplacement latéral, l'accès à des services internes et l'interruption via le verrouillage d'écran.

Ce que peuvent faire les défenseurs : indicateurs et contrôles

Les mesures d'atténuation complètes n'ont pas encore été publiées, mais Expel signale quelques indicateurs utiles. Le principal est la présence d'un exécutable Python déplacé dans des chemins non standard ou dans AppData. Comme la persistance utilise COM au lieu du Planificateur de tâches en ligne de commande, la surveillance des tâches planifiées créées via COM peut aider à identifier des comportements anormaux.

Du point de vue du vecteur initial, l'e-mail qui usurpait le service d'assistance informatique depuis un domaine onmicrosoft.com et l'installateur hébergé sur le stockage Azure peuvent alimenter les contrôles de messagerie et web : vérifier la légitimité des expéditeurs, bloquer ou signaler les demandes suspectes d'installation d'outils, et contrôler les téléchargements provenant de domaines de stockage cloud non professionnels.

La découverte de SynkLoader ajoute une pièce à la sophistication croissante des attaques qui précèdent le ransomware : outils modulaires, abus de services cloud légitimes et techniques d'évasion de plus en plus ciblées. Pour les défenseurs, observer les signaux faibles – un processus Python dans un dossier inhabituel, une tâche planifiée créée via COM – peut faire la différence avant que l'accès ne soit converti en une attaque concrète.