SynkLoader riporta in vita il fake lock screen: ecco come…

Marcus Hutchins e il team di ricerca di Expel hanno scoperto e analizzato SynkLoader, un malware modulare che combina Python, C, C# e PowerShell per infiltrarsi in

{"main_topic":"malware","topics":["malware","cybersecurity","phishing","ransomware","enterprise"]}

Marcus Hutchins e il team di ricerca di Expel hanno scoperto e analizzato SynkLoader, un malware modulare che combina Python, C, C# e PowerShell per infiltrarsi in ambienti enterprise. La prima compilazione del toolkit è stata stimata intorno al 28 luglio 2026; la prima infezione rilevata in rete cliente risale al 18 agosto 2026, quando un alert EDR ha segnalato un scheduled task sospetto.

La novità tattica sta nel modulo PhishLocker: una DLL nativa che replica fedelmente lo schermo di blocco di Windows 11, non una pagina browser come nelle campagne obsolete. In un contesto dove la password del PC coincide con l'accesso SSO a tutti i servizi aziendali, questo approccio eleva drasticamente il rischio. Il malware non si limita alla raccolta credenziali: profila la rete Active Directory, raccogliendo dati che Hutchins associa tipicamente ai gruppi ransomware o agli Initial Access Broker.

Punti chiave

SynkLoader è un malware modulare multi-linguaggio (Python, C, C#, PowerShell) scoperto da Expel con primo campione datato circa 28 luglio 2026.
Il vettore di accesso iniziale è un messaggio phishing su Microsoft Teams, con l'installer MSI ospitato su Azure Blob Storage sotto il nome "PowershellCleaner".
Il modulo PhishLocker usa una DLL nativa per simulare lo schermo di blocco Windows 11, raccogliendo password in chiaro sfruttando la convergenza SSO.
La persistenza avviene tramite interfaccia COM di Windows Task Scheduler, non schtasks.exe, per evadere i rilevamenti EDR.

Il phishing che non sembra phishing: Microsoft Teams e l'ingegneria sociale aziendale

L'accesso iniziale passa attraverso un messaggio su Microsoft Teams proveniente da un tenant @company.onmicrosoft.com, secondo quanto documentato da entrambe le fonti primarie. L'utente riceve un installer MSI denominato "PowershellCleaner", ospitato su Azure Blob Storage: l'uso di infrastrutture cloud legittime riduce il profilo di rilevamento da parte dei filtri tradizionali.

Una volta eseguito, il payload opera in-memory, usando codifica Base64, cifratura AES-CBC e Invoke-Expression per decodificare ed eseguire il contenuto senza scrivere file eseguibili persistenti sul disco. Questa catena di staging è progettata per minimizzare le tracce forensi e ritardare l'analisi.

Perché Python è un'arma di evasione: l'architettura multi-linguaggio

SynkLoader spedisce un ambiente Python in una directory casuale sotto AppData, con nome di 16 caratteri che funge simultaneamente da identificativo della vittima e chiave crittografica. La scelta di Python come linguaggio di esecuzione non è casuale: come osserva Hutchins, "not a lot of malware has been written in Python, so it reduces one of the endpoint detection and response (EDR) signals".

Il componente centrale, ss.py, gestisce il beaconing verso server C2 hardcoded con intervallo di 90-120 secondi. Il traffico è cifrato con ChaCha20, ma con una modifica significativa: gli operatori hanno alterato le Sigma constants standard del cipher, rendendo inefficaci le firme di rilevamento basate su implementazioni note. Il payload trasmesso è JSON cifrato.

Il bridge tra Python e sistema operativo avviene attraverso DLL native in C, che eseguono operazioni a basso livello indistinguibili da processi legittimi. Questa architettura ibrida permette di combinare la flessibilità di Python con le performance e l'occultamento del codice compilato.

Il lock screen che non chiede un riscatto: PhishLocker e il furto SSO

Il modulo PhishLocker rappresenta il cuore innovativo dell'operazione. A differenza delle campagne passate che usavano browser in fullscreen per simulare blocchi di sicurezza, SynkLoader impiega "semplicemente un'elaborata interfaccia grafica nativa, progettata per imitare uno schermo di blocco Windows". La DLL si presenta all'utente come un lock screen di sistema; la password digitata viene catturata in chiaro.

"It does seem like quite an effective way to get the user's system password, because unlike back in the day... now you have like a lot of secure sign-on (SSO)-based networks, where your computer login password is the same password that you use to sign into every company asset" — Marcus Hutchins, Expel

Un dettaglio cruciale, sottolineato nella documentazione di Expel: non esiste alcun meccanismo di verifica della password inserita. Il lock screen non controlla se la credenziale sia corretta; registra semplicemente ciò che l'utente digita, sfruttando la conformità psicologica al rituale di autenticazione quotidiano.

La convergenza SSO amplifica l'impatto: in ambienti enterprise moderni, la password del dominio è la chiave per email, risorse cloud, applicativi interni e spesso infrastrutture remote. Una singola credenziale catturata apre un perimetro molto più ampio del sistema locale.

Persistenza COM e profilazione AD: i segnali di un attore post-intrusione

Per la persistenza, SynkLoader evita l'eseguibile schtasks.exe e interagisce direttamente con l'interfaccia COM di Windows Task Scheduler. Questa tecnica, secondo Hutchins, è calibrata per "evitare il tipo di comportamento che verrebbe segnalato da un EDR": l'uso di API native anziché utility di sistema riduce la telemetria visibile agli strumenti di rilevamento.

I moduli aggiuntivi completano il quadro operativo. TrafficRedirector crea un reverse proxy per l'accesso a servizi interni esposti solo sulla LAN; StreamMaster permette lo streaming del desktop e il controllo remoto degli input. Le funzionalità di accesso remoto e pivoting interno sono coerenti con operazioni post-compromissione di gruppi ransomware.

Il modulo di profilazione raccoglie dimensione e struttura della rete Active Directory. Hutchins collega esplicitamente questo interesse ai gruppi ransomware: "To measure the size of the victim's network is typically something only of interest to ransom groups". La raccolta non è orientata all'espionaggio tradizionale di APT, ma alla valutazione del potenziale impatto commerciale dell'accesso venduto o sfruttato.

Cosa fare adesso

I team di sicurezza possono affiancare le raccomandazioni operative ai segnali tecnici specifici documentati da Expel. La rilevazione di Python fuori posto in directory casuali sotto AppData rappresenta un indicatore forte, data la rarità di questo linguaggio nel malware Windows. Hutchins suggerisce esplicitamente: "Looking for an out of place Python executable is a pretty strong signal here".

Gli analisti dovrebbero inoltre monitorare i task scheduler creati tramite interfaccia COM anziché tramite schtasks.exe, segnalando anomalie nell'uso programmatico di questa API. Il traffico beaconing con intervalli regolari di 90-120 secondi e implementazioni ChaCha20 con constants modificate costituisce un pattern C2 riconoscibile una volta isolato.

I domini C2 identificati nel campione analizzato sono neversoftmain[.]net, rootfarmapp[.]net e tripinupdate[.]net, con hash SHA256 dell'installer iniziale 151d2a7f52f047638ca8ad80c859c6bfe04d7510fb10933817fa0e3ba5d07a11.

La formazione degli utenti deve aggiornare i protocolli di risposta: uno schermo di blocco che richiede password in contesti insoliti, o che appare dopo azioni sospette come link da Teams, deve attivare procedure di verifica indipendenti prima dell'inserimento delle credenziali.

Il limite del dossier e cosa resta da verificare

Il dossier non identifica il gruppo threat actor dietro SynkLoader, né stabilisce collegamenti infrastrutturali con ransomware group noti. Non risulta confermato se il malware sia già stato impiegato in attacchi di estorsione concreti o se sia ancora in fase di preparazione e test. Il numero totale di vittime rimane sconosciuto: solo un cliente Expel è documentato con certezza.

Resta inoltre non specificato se i domini C2 siano attivi o già sottoposti a sinkholing, e quali siano i criteri di selezione delle vittime. La relazione tra la raccolta password in chiaro e l'uso successivo — hash NTLM, pass-the-hash, o accesso diretto — non è dettagliata nelle fonti disponibili.

L'analisi di Expel colloca SynkLoader in un trend più ampio: il ritorno di tecniche considerate obsolete, riadattate con sofisticazione moderna. Il fake lock screen non è un ricatto visivo come i ransomware del decennio scorso, ma un mezzo silenzioso di accesso. La differenza è nella finalità, non nella pericolosità.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti