SynkLoader, il malware che usa Microsoft Teams per rubare credenziali e controllare i PC

Un falso strumento IT distribuito tramite Teams

Una nuova famiglia di malware chiamata SynkLoader è stata resa nota il 21 agosto 2026, dopo essere stata osservata in campagne di phishing condotte attraverso Microsoft Teams. Gli operatori si presentano come personale del reparto IT e convincono la vittima a installare un presunto programma di manutenzione chiamato “PowerShell Cleaner”.

Il software viene distribuito come file MSI, ospitato su Microsoft Azure. L’uso di un’infrastruttura cloud riconoscibile può rendere il download meno sospetto, ma non indica un coinvolgimento di Microsoft nella campagna.

Le date di compilazione e i timestamp analizzati collocano la prima compilazione e distribuzione di SynkLoader intorno al 28 luglio 2026. Il malware, quindi, era operativo alcune settimane prima della sua divulgazione.

L’attacco sfrutta la fiducia riposta nei messaggi interni e nei presunti interventi dell’help desk. Una richiesta arrivata da Teams può apparire più credibile di una normale e-mail, soprattutto quando l’aggressore conosce il nome dell’organizzazione o utilizza un linguaggio coerente con quello del reparto IT.

Un installer MSI che nasconde più componenti

L’installer estrae uno script PowerShell denominato cleaner.ps1 e un archivio ZIP. Al suo interno si trovano il framework Python, uno script Python malevolo, librerie precompilate e DLL contraffatte che imitano runtime Microsoft.

SynkLoader combina componenti scritti in Python, PowerShell, C# e C++. Un singolo modulo può utilizzare fino a tre di questi linguaggi, aumentando la complessità dell’analisi e rendendo meno efficace una difesa basata sul controllo di un solo tipo di file.

L’analisi è stata condotta dopo che i ricercatori hanno predisposto un honeypot capace di contattare il server di comando e controllo, o C2, simulando il comportamento di una vittima reale. L’operatore ha risposto con attività di ricognizione e ha interrotto la connessione quando ha compreso di non trovarsi in un ambiente autentico.

I moduli identificati non formano soltanto una catena di raccolta dati. Insieme, offrono all’attaccante visibilità sull’ambiente, persistenza, accesso interattivo e controllo remoto della sessione Windows.

Dalla ricognizione al controllo remoto

Il modulo System Profiler raccoglie informazioni sul computer e sulla rete. Tra i dati acquisiti figurano hostname, nome dell’utente, livello di privilegi, processi attivi, servizi, appartenenza a un dominio e numero di computer presenti in Active Directory.

Quest’ultimo elemento è particolarmente utile per valutare la dimensione dell’organizzazione compromessa. La presenza di una ricognizione specifica dell’ambiente Active Directory è anche uno dei motivi per cui Marcus Hutchins di Expel considera plausibile un impiego di SynkLoader in operazioni di ransomware.

Il Persistence Module crea un’attività pianificata con un nome casuale. L’attività viene eseguita all’accesso dell’utente e ogni giorno alle 10:00, con l’obiettivo di riavviare SynkLoader dopo un riavvio o una disconnessione.

Il modulo più insidioso per il furto delle credenziali è PhishLocker. Mostra una schermata Windows contraffatta, presentata come un blocco di Windows 11, e richiede la password dell’account. Non si tratta però di un vero blocco del sistema: la schermata è un’applicazione grafica senza bordi.

Questa caratteristica può tradirne la natura. La combinazione Alt+Tab può mostrare le finestre attive e rivelare che il presunto blocco è in realtà un programma. Anche Ctrl+Alt+Delete può aiutare a verificare l’autenticità della schermata.

SynkLoader include inoltre TrafficRedirector, che crea un proxy inverso. L’attaccante può usarlo per raggiungere servizi interni attraverso il computer infetto oppure per instradare il traffico Internet dalla postazione compromessa.

Le credenziali rubate e il tunneling possono quindi lavorare insieme. Un aggressore potrebbe sfruttare l’accesso dalla macchina infetta per raggiungere risorse aziendali e aggirare restrizioni basate su liste di indirizzi IP autorizzati.

Il modulo Interactive Shell, descritto come RAT, consente di eseguire comandi PowerShell e ricevere i risultati. StreamMaster, basato su VNC, trasmette il desktop della vittima e permette di controllare mouse e tastiera nella sessione attiva.

Infine, il Module Status Script comunica quali moduli e thread risultano operativi. L’attaccante può così verificare lo stato della compromissione e decidere quali funzioni attivare.

Perché la minaccia è operativamente rilevante

SynkLoader unisce funzioni che normalmente compaiono in fasi diverse di un’intrusione: profilazione, raccolta di credenziali, persistenza, accesso remoto, tunneling e controllo della sessione.

Il rischio non dipende soltanto dal furto della password Windows. Una credenziale valida può facilitare movimenti successivi, accesso a servizi interni e raccolta di informazioni sull’organizzazione. La capacità di osservare Active Directory offre inoltre agli operatori elementi utili per selezionare obiettivi di maggiore valore.

Durante il test, l’operatore ha eseguito diversi comandi di ricognizione prima di chiudere la connessione. Un emulatore del modulo reverse shell sviluppato dai ricercatori ha confermato che l’accesso era controllato manualmente, non soltanto da una sequenza automatica.

Non è stata resa nota una classificazione formale della gravità né un punteggio CVSS. La minaccia presenta però un profilo operativo elevato per le capacità disponibili dopo l’infezione.

Gli indicatori pubblicati per l’attacco osservato devono essere usati con cautela. Gli hash dei moduli cambiano tra un’infezione e l’altra e possono quindi avere un’efficacia limitata come unico strumento di rilevamento.

Come difendersi e cosa monitorare

Gli utenti dovrebbero verificare con un canale indipendente ogni richiesta apparentemente proveniente dall’help desk. Un messaggio ricevuto tramite Teams non dovrebbe essere considerato automaticamente affidabile, soprattutto quando chiede di installare un MSI o di inserire una password.

I file MSI ricevuti senza preavviso o non richiesti non dovrebbero essere eseguiti. Le organizzazioni possono inoltre limitare l’installazione di software agli account autorizzati e sottoporre i pacchetti a controlli prima della distribuzione.

In caso di schermata di blocco inattesa, Ctrl+Alt+Delete e Alt+Tab possono fornire una prima verifica. Se compaiono altre finestre o il comportamento non coincide con quello previsto da Windows, il computer dovrebbe essere isolato e segnalato al reparto sicurezza.

Sul piano tecnico, i team difensivi dovrebbero cercare:

• attività pianificate con nomi casuali;
• esecuzioni anomale di PowerShell e presenza di cleaner.ps1;
• archivi ZIP contenenti runtime Python e DLL insolite;
• connessioni verso server C2;
• proxy inversi e traffico inatteso dalla postazione;
• interrogazioni anomale di Active Directory;
• uso di VNC o strumenti di controllo remoto non autorizzati.

Il rilevamento non dovrebbe basarsi soltanto sugli hash. È più efficace combinare telemetria dei processi, eventi PowerShell, attività pianificate, autenticazioni, connessioni di rete e comportamento degli account.

Non sono state indicate versioni software specifiche vulnerabili, perché SynkLoader non sfrutta una falla di un prodotto: utilizza invece ingegneria sociale, componenti legittimi di Windows e servizi cloud per ottenere l’esecuzione iniziale.