New SynkLoader malware pushed in Microsoft Teams phishing campaign

Menace émergente : Le malware SynkLoader diffusé via Microsoft Teams

Une nouvelle campagne de phishing ciblant les utilisateurs de Microsoft Teams déploie le malware SynkLoader. Les attaquants se font passer pour le support informatique de l’entreprise et incitent les victimes à installer un fichier malveillant (.MSI) hébergé sur Microsoft Azure, présenté comme un outil légitime (« PowerShell Cleaner »).

Points clés :

• Nature du malware : SynkLoader est un outil modulaire complexe utilisant une combinaison de Python, PowerShell, C# et C++.
• Méthodes d’attaque : Utilisation de modules variés pour le profilage système, la persistance via des tâches planifiées, le contrôle à distance (VNC/RAT) et le détournement de trafic.
• Vecteur principal : Le module « PhishLocker » affiche une fausse fenêtre de verrouillage Windows pour voler les identifiants de session des utilisateurs.
• Objectif probable : La reconnaissance active de l’annuaire Active Directory suggère une préparation à des attaques par ransomware.

Vulnérabilités :

• Aucune CVE spécifique n’est exploitée. L’attaque repose sur l’ingénierie sociale (usurpation d’identité) et l’exécution de code arbitraire par l’utilisateur lors de l’installation du fichier MSI.

Recommandations :

• Vérification : Confirmer systématiquement toute demande d’assistance technique ou d’installation logicielle par un canal de communication distinct et fiable.
• Précautions lors du verrouillage : En cas d’apparition soudaine d’un écran de verrouillage, effectuer une combinaison Ctrl+Alt+Suppr ou Alt+Tab pour tester son authenticité (une fenêtre de verrouillage factice est souvent une application en plein écran qui réagit aux raccourcis système).
• Hygiène informatique : Proscrire l’installation de fichiers exécutables ou MSI non sollicités, même s’ils semblent provenir de services cloud réputés.

Source