Expel ha scoperto SynkLoader, una nuova famiglia di malware modulare che sfrutta il phishing su Microsoft Teams per compromettere reti aziendali. La campagna, attiva da circa il 28 luglio 2026, impersona l'IT help desk delle vittime inducendole a installare un falso "PowerShell Cleaner" ospitato su Azure. Il malware combina Python, PowerShell, C# e C++ in una catena di infezione memory-resident che sfugge alle firme tradizionali.
- SynkLoader si distribuisce tramite campagne di phishing su Microsoft Teams in cui gli attaccanti impersonano l'IT help desk della vittima.
- L'installer MSI estrae uno script PowerShell e un framework Python embedded che carica moduli C# da DLL contraffatte, con catena multi-linguaggio fino a tre linguaggi per modulo singolo.
- Il malware include moduli per profilazione di sistema, persistenza, furto di credenziali tramite finto lock screen (bypassabile con Alt+Tab), reverse proxy tunneling e controllo desktop remoto VNC.
- I metadati dello sviluppatore non sono stati rimossi: il percorso PDB contiene il nome utente "genry", rendendo il malware riconoscibile nonostante la complessità ostentata.
Come funziona l'ingegneria sociale su Teams
La catena d'attacco inizia con un contatto su Microsoft Teams. Secondo Expel, gli attaccanti utilizzano un indirizzo email @company.onmicrosoft.com con il nome visualizzato "IT Service Desk". La conversazione convince l'utente a scaricare e installare un file MSI denominato "PowerShell Cleaner" da un endpoint di archiviazione file Microsoft Azure. L'uso di infrastruttura Microsoft legittima conferisce al download un'apparenza di autenticità che aggira le difese basate sulla reputazione degli URL.
Una volta eseguito, l'installer MSI estrae due componenti principali: uno script PowerShell (cleaner.ps1) e un archivio ZIP contenente il framework Python, script malevoli, librerie precompilate e DLL runtime Microsoft contraffatte. Il loader principale (ss.py) stabilisce la comunicazione con uno di tre domini C2 hardcoded: neversoftmain[.]net, rootfarmapp[.]net, tripinupdate[.]net. Le richieste sono crittografate con ChaCha20 modificato, utilizzando come chiave l'ID vittima corrispondente a una directory di installazione casuale da 16 caratteri.
L'intervallo tra le richieste C2 varia tra 90 e 120 secondi in modalità casuale. Questo jitter temporale, combinato con l'uso di infrastruttura cloud apparentemente neutra, rende il traffico difficilmente distinguibile dalle comunicazioni legittime per i sistemi di rilevamento basati su soglie statiche.
La complessità multi-linguaggio come arma a doppio taglio
SynkLoader deve il suo nome all'approccio "everything but the kitchen sink": il ricercatore di Expel Marcus Hutchins ha documentato come singoli moduli intreccino fino a tre linguaggi di programmazione contemporaneamente. Il loader Python estrae e carica moduli C# da DLL false (msvcp150.dll), che a loro volta eseguono PowerShell in-memory tramite ScriptBlock dinamico e IEX (Invoke-Expression). Questa stratificazione nasconde gli indicatori di compromissione dalla scansione statica, ma introduce fragilità operativa.
La frammentazione linguistica genera infatti una superficie di rilevamento più ampia di quanto l'attaccante apparentemente supponga. Il PDB path originale — C:\Users\genry\source\repos\pwshnewdll\x64\Release\pwshnewdll.pdb — è rimasto nei metadati della DLL, esponendo l'identificativo "genry" come possibile nome dello sviluppatore. I timestamp di compilazione indicano la prima distribuzione intorno al 28 luglio 2026, con la DLL msvcp150.dll datata alle 8:02:11 del medesimo giorno. La presenza di questi artefatti suggerisce che la corsa alla complessità abbia sacrificato l'operational security più elementare.
"We decided on the name SynkLoader (pronounced 'Sink Loader'), in reference to its 'everything but the kitchen sink' approach." — Expel (Marcus Hutchins)
I moduli funzionali: dal profiling al controllo remoto
SynkLoader opera interamente in memory dopo lo stage iniziale, senza persistenza tradizionale su disco per i componenti principali. Il modulo "System Profiler" raccoglie hostname, username, privilegi utente, processi attivi, servizi, dettagli del dominio e numero di computer in Active Directory. Quest'ultimo dato, secondo Hutchins, orienta verso una probabile finalità di operazioni ransomware o initial access brokering, anche se il dossier non documenta conferme indipendenti di tale impiego.
Il modulo "PhishLocker" implementa il furto di credenziali attraverso un finto lock screen Windows. Expel ha verificato che si tratta di un'applicazione GUI fullscreen senza bordi, non di un vero screen di blocco del sistema operativo: la pressione di Alt+Tab o Ctrl+Alt+Delete espone immediatamente la natura artificiale della finestra. Il modulo "TrafficRedirector" stabilisce un reverse proxy per raggiungere servizi di rete interni o instradare traffico attraverso l'host compromesso. Il modulo "Interactive Shell" consente esecuzione remota di comandi PowerShell, mentre "StreamMaster" fornisce funzionalità VNC per controllo desktop remoto.
Expel ha emulato il modulo reverse shell confermando che si tratta di attacchi "hands-on-keyboard" con operatore umano attivo. Durante l'interazione con l'emulatore, l'attaccante ha tentato di eseguire comandi di profiling prima di accorgersi dell'ambiente falso e disconnettersi. Questa osservazione esclude che SynkLoader operi come bot completamente automatizzato: la presenza umana implica capacità di adattamento e decisione in tempo reale.
Cosa fare adesso
- Verificare che le policy di Teams limitino i contatti esterni o li contrassegnino visivamente, poiché il vettore principale sfrutta l'apparente legittimità di account @company.onmicrosoft.com.
- Testare i processi di approvazione per gli installer MSI anche quando ospitati su infrastruttura cloud propria: la reputazione dell'hosting non garantisce l'integrità del payload.
- Rivedere i criteri di rilevamento EDR per includere l'esecuzione di Python da percorsi temporanei e il caricamento dinamico di DLL da archivi ZIP estratti da installer.
- Informare gli utenti che un vero lock screen di Windows non viene bypassato da Alt+Tab: questa verifica richiede secondi e neutralizza il modulo PhishLocker.
Perché la complessità ostentata non paga
Il paradosso di SynkLoader risiede nella discrepanza tra ambizione e realizzazione. Il malware ambisce a eludere le difese attraverso indirezione e stratificazione, ma proprio questa complessità genera artefatti riconoscibili: metadati PDB, timestamp coerenti, domini C2 hardcoded. L'emulazione del protocollo C2 da parte di Expel ha dimostrato che la sofisticazione tecnica non equivale a robustezza operativa quando l'attaccante trascura l'hygiene fondamentale.
Per le difese aziendali, la lezione è duplice. Il vettore Teams sfrutta la fiducia implicita nell'ecosistema Microsoft: le tradizionali barriere perimetrali basate su reputazione URL perdono efficacia quando il phishing transita su canali enterprise legittimi. Al contempo, l'analisi di Hutchins suggerisce che i loader "polyglot" e memory-resident richiedono una riprogettazione degli strumenti EDR, che devono tracciare l'orchestrazione tra processi eterogenei più che le firme statiche di singoli file.
L'identità dello sviluppatore "genry" resta sconosciuta: potrebbe trattarsi di pseudonimo, nome reale o account di sistema. Non emergono sovrapposizioni infrastrutturali che colleghino l'operatore a gruppi threat actor noti allo stato attuale del dossier. Il numero esatto di vittime e la copertura geografica della campagna non sono documentati.
Fonti
- https://www.bleepingcomputer.com/news/security/new-synkloader-malware-pushed-in-microsoft-teams-phishing-campaign/
- https://radar.offseq.com/threat/synkloader-when-you-throw-in-everything-but-the-kitchen-sink-3503834114e296c8
- https://expel.com/blog/synkloader-when-you-throw-in-everything-but-the-kitchen-sink/
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/
- https://www.bleepingcomputer.com/download/
- https://deals.bleepingcomputer.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.