SynkLoader: il malware che ruba password e prepara il terreno al ransomware

Scoperto un nuovo multi-tool per l’accesso iniziale

I ricercatori di Expel, guidati da Marcus Hutchins, hanno identificato e battezzato una nuova famiglia di malware sofisticata: SynkLoader. Il nome deriva dall’espressione inglese “everything but the kitchen sink” – tutto tranne il lavello della cucina – storpiata in “Synk”. La scelta non è casuale: il programma integra un’ampia gamma di tattiche e moduli pensati per infiltrarsi nei sistemi aziendali, dal furto di credenziali al controllo remoto del desktop.

Lo scopo finale resta ignoto, ma diversi elementi nel codice suggeriscono che sia opera di un gruppo ransomware o di un initial access broker (IAB), cioè un attore che vende l’accesso iniziale a reti compromesse. I metadati di compilazione indicano un probabile primo utilizzo il 28 luglio; la prima osservazione documentata in una rete cliente è avvenuta il 18 agosto.

L’inganno parte da un tenant Microsoft 365 legittimo

L’incidente iniziale analizzato da Expel è partito da un’email di phishing particolarmente insidiosa. Invece di ricorrere a domini simili a quelli aziendali (typosquatting), gli attaccanti hanno registrato un tenant Microsoft 365 proprio e hanno contattato la vittima usando un indirizzo sul dominio predefinito onmicrosoft.com, spacciandosi per l’IT Service Desk aziendale.

Hanno chiesto l’installazione di un finto strumento di manutenzione PowerShell. L’installer era ospitato su una pagina ufficiale di storage Microsoft Azure, sfruttando il marchio Microsoft per aumentare la credibilità. Questo approccio rende molto più difficile per gli utenti e per i filtri distinguere la comunicazione malevola da una richiesta legittima.

Un arsenale modulare: Python, DLL e COM per eludere l’EDR

L’installer SynkLoader distribuisce diversi componenti: uno script PowerShell che esegue le istruzioni in memoria temporanea, un ambiente Python minimale, uno script Python malevolo che comunica con i domini di comando e controllo (C2) e diverse DLL runtime Microsoft finte.

L’uso di Python è strategico. Storicamente il malware scritto interamente in Python non è molto diffuso, quindi alcuni segnali degli strumenti EDR (Endpoint Detection and Response) risultano ridotti. Poiché Python non è un linguaggio nativo di Windows, il malware porta con sé componenti nativi in C/DLL che consentono comportamenti impossibili da realizzare direttamente in Python, creando un ponte per eseguire azioni malevole dentro un processo Python.

I moduli DLL includono:

• Profiler di sistema: raccoglie processi e servizi in esecuzione, privilegi dell’utente locale, nome del dominio Active Directory (AD) e numero di altri computer appartenenti alla rete AD. Hutchins sottolinea che misurare la dimensione della rete vittima è tipico dei gruppi ransomware opportunistici, mentre un APT (Advanced Persistent Threat) conosce già l’organizzazione presa di mira.
• Persistenza: crea un’attività pianificata di Windows ricorrente. Anziché invocare l’Utilità di pianificazione dalla riga di comando, interagisce direttamente con l’interfaccia COM di Windows, quasi certamente per evitare i flag degli EDR.
• RAT (Remote Access Trojan): funge da trojan di accesso remoto.
• Controllo desktop: trasmette il desktop della vittima e consente il controllo di mouse e tastiera.
• Proxy inverso: sfrutta l’indirizzo IP del computer vittima per instradare traffico Internet e raggiungere servizi interni altrimenti accessibili solo dalla LAN dell’organizzazione.
• PhishLocker: il componente più inatteso, descritto di seguito.

PhishLocker, il finto blocco schermo che estorce la password Windows

In passato i locker usavano JavaScript per forzare il browser a schermo intero e impedivano l’uscita senza credenziali o pagamento: una delle prime forme di ransomware. Venivano usati anche per phishing, simulando ad esempio un client Outlook in HTML per rubare password applicative. Le organizzazioni avevano eliminato la funzionalità del browser che lo consentiva.

SynkLoader riporta il blocco schermo tramite una DLL. La DLL contiene una GUI elaborata che imita la schermata di blocco di Windows, quasi indistinguibile dall’originale. PhishLocker impedisce alla vittima di uscire finché non fornisce la password dell’account Windows. Al momento il malware non dispone di un controllo sulla correttezza della password inserita.

Secondo Hutchins, è un modo efficace per ottenere la password di sistema, soprattutto nelle reti basate su SSO (Single Sign-On) dove la password di accesso al computer coincide con quella dei servizi aziendali. Questo offre agli attaccanti credenziali potenti per il movimento laterale.

Indizi di un gruppo ransomware o di un access broker

Non viene fornito un punteggio di gravità formale, ma la combinazione di capacità – esecuzione in memoria, persistenza tramite COM, RAT, controllo desktop, proxy inverso e furto di password Windows – indica un rischio alto.

Lo scopo non è confermato, ma il codice e il profiler di rete suggeriscono che SynkLoader possa essere opera di un gruppo ransomware o di un initial access broker (IAB) impiegato per preparare un successivo attacco ransomware. L’impatto potenziale include compromissione delle credenziali aziendali in ambienti SSO, movimento laterale, accesso a servizi interni e interruzione tramite blocco schermo.

Cosa possono fare i difensori: indicatori e controlli

Le mitigazioni complete non sono ancora state rese note, ma Expel segnala alcuni indicatori utili. Il principale è la presenza di un eseguibile Python fuori posto in percorsi non standard o in AppData. Poiché la persistenza usa la COM invece di Task Scheduler da riga di comando, il monitoraggio delle attività pianificate create tramite COM può aiutare a identificare comportamenti anomali.

Dal punto di vista del vettore iniziale, l’email che impersonava l’IT Service Desk da un dominio onmicrosoft.com e l’installer ospitato su storage Azure possono alimentare controlli di posta e web: verificare la legittimità dei mittenti, bloccare o segnalare richieste sospette di installazione di strumenti, e controllare i download provenienti da domini di storage cloud non aziendali.

La scoperta di SynkLoader aggiunge un tassello alla crescente sofisticazione degli attacchi che precedono il ransomware: strumenti modulari, abuso di servizi cloud legittimi e tecniche di evasione sempre più mirate. Per i difensori, osservare i segnali deboli – un processo Python in una cartella insolita, un’attività pianificata creata via COM – può fare la differenza prima che l’accesso venga convertito in un attacco concreto.