WordlistLoader e SynkLoader: due nuovi strumenti criminali puntano a credenziali e accesso alle reti

Due scoperte indipendenti, un obiettivo comune

Negli ultimi mesi, tre team di sicurezza hanno documentato due campagne malware distinte ma accomunate dallo stesso scopo: ottenere un primo accesso alle macchine Windows e preparare il terreno per attacchi successivi. Gen Digital ha individuato WordlistLoader, un loader intermedio usato per distribuire Amatera Stealer, noto anche come ACR Stealer o AcridRain Stealer. Microsoft ha confermato la sostituzione dei precedenti loader Python con WordlistLoader tra fine aprile e metà giugno 2026. Expel, dal canto suo, ha ricostruito una campagna basata su SynkLoader, un toolkit distribuito via phishing su Microsoft Teams. Entrambe le famiglie sono descritte come strumenti per distribuire payload successivi o per vendere l'accesso a terzi.

WordlistLoader: il codice nascosto in una lista di parole

La campagna che porta a WordlistLoader sfrutta la tecnica ClearFake. Su siti legittimi compromessi viene iniettato JavaScript malevolo come blob codificato in Base64. Il blob recupera un secondo JavaScript da uno smart contract memorizzato su una blockchain, una tecnica chiamata EtherHiding, e lo esegue dinamicamente. L'uso della blockchain permette agli attaccanti di aggiornare i payload anche dopo che i repository malevoli ospitati su CDN legittimi come cdn.jsdelivr[.]net vengono rimossi. I siti compromessi osservati includono abogadosrosarinos[.]com, aptisweb[.]com, avene-hebergement[.]com, https-xhamster[.]com, www.caesarjaco.co[.]id e skybap[.]shop.

Il comando ClickFix mostrato alla vittima avvia una catena di esecuzione che secondo Microsoft presenta tre varianti. La più semplice chiama direttamente rundll32.exe. La seconda monta una share WebDAV remota con pushd e poi lancia rundll32.exe. La terza, più avanzata, esegue il tutto in modo headless e offuscato: conhost.exe --headless sopprime le finestre di console, mentre l'offuscamento tramite variabili d'ambiente con espansione ritardata nasconde componenti critici come pushd, rundll32 e il nome host remoto. Questa terza variante corrisponde alla catena di infezione di WordlistLoader.

WordlistLoader è lo stadio intermedio che ricostruisce uno shellcode. Il nome deriva dal formato di codifica dello shellcode: una sequenza di parole inglesi, dove ogni parola rappresenta un byte. Gen Digital ha identificato anche una variante che sostituisce la wordlist con un array di chunk UUID da 16 byte. Lo shellcode, una volta ricostruito, usa un reflective loader per spacchettare e caricare Amatera 4.3.3-alpha1. Lo stesso reflective loader era già stato osservato a fine aprile 2026 in un'altra campagna ClickFix. Per evitare tracce, WordlistLoader impiega hardware breakpoint per eludere Event Tracing for Windows (ETW).

Amatera 4.3.3-alpha1: evasione potenziata con WoW64 e Heaven's Gate

L'ultima versione di Amatera Stealer incorpora diverse tecniche evasive aggiornate. L'offuscamento statico è stato rivisto. Le chiamate di sistema sono state rafforzate tramite una transizione WoW64, con trampoline x64 indirect syscall generate dinamicamente e invocate attraverso Heaven's Gate. Inoltre, il bypass della application-bound encryption (ABE) è stato ridisegnato ispirandosi a Remus Stealer. ACR Stealer è stato diffuso anche attraverso prompt ClickFix che eseguono MSHTA per recuperare contenuto HTA da un dominio controllato dall'attaccante. Un loader VBScript decodifica ed esegue PowerShell, che scarica un'immagine JPEG da un servizio di hosting di immagini ed estrae dalla memoria il payload dello stealer, riducendo gli artefatti su disco.

SynkLoader: il finto help desk su Teams che chiede la password

Expel ha rilevato a metà agosto 2025 una campagna di phishing su Microsoft Teams. Un account con il formato <username>@<company>.onmicrosoft.com, il dominio predefinito di Microsoft 365 per le aziende, contatta la vittima fingendosi "IT Service Desk" con un nome fittizio. L'attaccante convince l'utente a scaricare e installare un pacchetto MSI da un endpoint Azure Blob Storage: https://filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi. Il file MSI si presenta come "PowerShell Cleaner". Quando viene eseguito, estrae un archivio ZIP e uno script PowerShell; lo script viene eseguito in memoria automaticamente. Estrae il contenuto dell'archivio e avvia un loader Python che contatta casualmente uno di tre domini C2 hardcoded, dormendo tra 90 e 120 secondi tra le richieste.

Il toolkit SynkLoader comprende almeno sette moduli. System Profiler è una DLL C# per raccogliere dati sul sistema. Persistence Module crea una scheduled task con nome casuale per avviare SynkLoader a ogni accesso dell'utente e ogni giorno alle 10:00. PhishLocker mostra una finta schermata di blocco di Windows per catturare la password di accesso dell'utente. TrafficRedirector è un backconnect o reverse proxy per raggiungere servizi di rete locali o instradare traffico attraverso la macchina infetta. Interactive Shell è un modulo RAT per eseguire comandi PowerShell. StreamMaster è un modulo VNC per trasmettere il desktop e controllare mouse e tastiera. Infine, Status Checker è uno script Python che riporta lo stato dei moduli attivi.

Impatto e possibili collegamenti con Ransomware o Initial Access Broker

WordlistLoader consente l'esecuzione di Amatera Stealer, che utilizza tecniche evasive avanzate per sottrarre dati e ridurre gli artefatti su disco. SynkLoader può acquisire credenziali Windows tramite il finto lock screen, stabilire persistenza, eseguire comandi, controllare il desktop via VNC e instradare traffico verso la rete interna. Gli obiettivi finali di SynkLoader non sono chiari, ma Expel sospetta che il toolkit possa appartenere a un gruppo ransomware o a un initial access broker. Entrambe le famiglie sono descritte come strumenti per distribuire payload successivi o vendere l'accesso. Al momento non risultano CVE associate, né inserimenti nel catalogo KEV della CISA.

Difese e indicatori di compromissione

Al momento non sono disponibili mitigazioni ufficiali, workaround o indicazioni di rilevamento specifiche da parte dei vendor. In attesa di patch o linee guida, i team di sicurezza possono utilizzare gli indicatori di compromissione già noti: i domini compromessi osservati (abogadosrosarinos[.]com, aptisweb[.]com, avene-hebergement[.]com, https-xhamster[.]com, www.caesarjaco.co[.]id, skybap[.]shop), il CDN cdn.jsdelivr[.]net e l'URL dell'MSI su Azure Blob Storage (https://filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi). Sul piano comportamentale, è opportuno monitorare l'esecuzione anomala di conhost.exe, rundll32.exe e mshta.exe, in particolare quando accompagnata dall'uso di share WebDAV remote in catene di comandi sospette. Per SynkLoader, il rilevamento di richieste verso domini C2 hardcoded o la comparsa di scheduled task casuali può indicare un'infezione in corso. L'educazione degli utenti sui falsi help desk su Teams e sulla richiesta di installare software da link non verificati resta una contromisura fondamentale.