WordlistLoader et SynkLoader : deux nouveaux outils malveillants ciblent identifiants et accès réseau

Deux découvertes indépendantes, un objectif commun

Au cours des derniers mois, trois équipes de sécurité ont documenté deux campagnes malveillantes distinctes mais partageant le même objectif : obtenir un accès initial aux machines Windows et préparer le terrain pour des attaques ultérieures. Gen Digital a identifié WordlistLoader, un loader intermédiaire utilisé pour distribuer Amatera Stealer, également connu sous le nom d'ACR Stealer ou AcridRain Stealer. Microsoft a confirmé le remplacement des précédents loaders Python par WordlistLoader entre fin avril et mi-juin 2026. Expel, de son côté, a reconstitué une campagne basée sur SynkLoader, une boîte à outils distribuée par hameçonnage via Microsoft Teams. Les deux familles sont décrites comme des outils permettant de distribuer des charges utiles ultérieures ou de vendre l'accès à des tiers.

WordlistLoader : le code caché dans une liste de mots

La campagne menant à WordlistLoader exploite la technique ClearFake. Sur des sites légitimes compromis, un JavaScript malveillant est injecté sous forme de blob codé en Base64. Le blob récupère un second JavaScript depuis un smart contract stocké sur une blockchain, une technique appelée EtherHiding, et l'exécute dynamiquement. L'utilisation de la blockchain permet aux attaquants de mettre à jour les charges utiles même après la suppression des dépôts malveillants hébergés sur des CDN légitimes comme cdn.jsdelivr[.]net. Les sites compromis observés incluent abogadosrosarinos[.]com, aptisweb[.]com, avene-hebergement[.]com, https-xhamster[.]com, www.caesarjaco.co[.]id et skybap[.]shop.

La commande ClickFix présentée à la victime déclenche une chaîne d'exécution qui, selon Microsoft, présente trois variantes. La plus simple appelle directement rundll32.exe. La deuxième monte un partage WebDAV distant avec pushd puis lance rundll32.exe. La troisième, plus avancée, exécute le tout en mode headless et offusqué : conhost.exe --headless supprime les fenêtres de console, tandis que l'offuscation par variables d'environnement avec expansion différée masque des composants critiques comme pushd, rundll32 et le nom d'hôte distant. Cette troisième variante correspond à la chaîne d'infection de WordlistLoader.

WordlistLoader est l'étape intermédiaire qui reconstruit un shellcode. Le nom vient du format de codage du shellcode : une séquence de mots anglais, où chaque mot représente un octet. Gen Digital a également identifié une variante qui remplace la liste de mots par un tableau de chunks UUID de 16 octets. Une fois reconstruit, le shellcode utilise un reflective loader pour décompresser et charger Amatera 4.3.3-alpha1. Ce même reflective loader avait déjà été observé fin avril 2026 dans une autre campagne ClickFix. Pour éviter les traces, WordlistLoader utilise des points d'arrêt matériels pour contourner Event Tracing for Windows (ETW).

Amatera 4.3.3-alpha1 : évasion renforcée avec WoW64 et Heaven's Gate

La dernière version d'Amatera Stealer intègre plusieurs techniques d'évasion actualisées. L'offuscation statique a été revue. Les appels système ont été renforcés via une transition WoW64, avec des trampolines x64 indirect syscall générés dynamiquement et invoqués à travers Heaven's Gate. De plus, le contournement de l'application-bound encryption (ABE) a été redessiné en s'inspirant de Remus Stealer. ACR Stealer a également été diffusé via des invites ClickFix qui exécutent MSHTA pour récupérer du contenu HTA depuis un domaine contrôlé par l'attaquant. Un loader VBScript décode et exécute PowerShell, qui télécharge une image JPEG depuis un service d'hébergement d'images et extrait de la mémoire la charge utile du stealer, réduisant ainsi les artefacts sur disque.

SynkLoader : le faux help desk sur Teams qui demande le mot de passe

Expel a détecté mi-août 2025 une campagne de hameçonnage sur Microsoft Teams. Un compte au format <username>@<company>.onmicrosoft.com, le domaine par défaut de Microsoft 365 pour les entreprises, contacte la victime en se faisant passer pour « IT Service Desk » avec un nom fictif. L'attaquant convainc l'utilisateur de télécharger et d'installer un paquet MSI depuis un point de terminaison Azure Blob Storage : https://filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi. Le fichier MSI se présente comme « PowerShell Cleaner ». Lorsqu'il est exécuté, il extrait une archive ZIP et un script PowerShell ; le script est exécuté en mémoire automatiquement. Il extrait le contenu de l'archive et lance un loader Python qui contacte aléatoirement l'un des trois domaines C2 codés en dur, en dormant entre 90 et 120 secondes entre les requêtes.

Le toolkit SynkLoader comprend au moins sept modules. System Profiler est une DLL C# pour collecter des données sur le système. Persistence Module crée une tâche planifiée avec un nom aléatoire pour lancer SynkLoader à chaque connexion de l'utilisateur et chaque jour à 10h00. PhishLocker affiche un faux écran de verrouillage Windows pour capturer le mot de passe de connexion de l'utilisateur. TrafficRedirector est un backconnect ou proxy inverse pour atteindre des services réseau locaux ou acheminer du trafic via la machine infectée. Interactive Shell est un module RAT pour exécuter des commandes PowerShell. StreamMaster est un module VNC pour diffuser le bureau et contrôler la souris et le clavier. Enfin, Status Checker est un script Python qui rapporte l'état des modules actifs.

Impact et liens possibles avec des ransomwares ou des courtiers d'accès initial

WordlistLoader permet l'exécution d'Amatera Stealer, qui utilise des techniques d'évasion avancées pour dérober des données et réduire les artefacts sur disque. SynkLoader peut acquérir des identifiants Windows via le faux écran de verrouillage, établir une persistance, exécuter des commandes, contrôler le bureau via VNC et acheminer du trafic vers le réseau interne. Les objectifs finaux de SynkLoader ne sont pas clairs, mais Expel soupçonne que le toolkit puisse appartenir à un groupe de ransomware ou à un courtier d'accès initial. Les deux familles sont décrites comme des outils pour distribuer des charges utiles ultérieures ou vendre l'accès. Pour l'instant, aucune CVE associée n'a été identifiée, ni d'inscription au catalogue KEV de la CISA.

Défenses et indicateurs de compromission

Pour l'instant, aucune mesure d'atténuation officielle, aucun contournement ni aucune indication de détection spécifique n'ont été fournis par les éditeurs. En attendant des correctifs ou des recommandations, les équipes de sécurité peuvent utiliser les indicateurs de compromission déjà connus : les domaines compromis observés (abogadosrosarinos[.]com, aptisweb[.]com, avene-hebergement[.]com, https-xhamster[.]com, www.caesarjaco.co[.]id, skybap[.]shop), le CDN cdn.jsdelivr[.]net et l'URL du MSI sur Azure Blob Storage (https://filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi). Sur le plan comportemental, il est conseillé de surveiller l'exécution anormale de conhost.exe, rundll32.exe et mshta.exe, en particulier lorsqu'elle s'accompagne de l'utilisation de partages WebDAV distants dans des chaînes de commandes suspectes. Pour SynkLoader, la détection de requêtes vers des domaines C2 codés en dur ou l'apparition de tâches planifiées aléatoires peut indiquer une infection en cours. La formation des utilisateurs sur les faux help desks sur Teams et sur la demande d'installer des logiciels à partir de liens non vérifiés reste une contremesure essentielle.