これまで確認されていなかった「SynkLoader」と呼ばれるマルウェアファミリーが、Microsoft Teamsを悪用したフィッシングキャンペーンで配布され、偽のロック画面を通じて認証情報を窃取していることが判明しました。
攻撃者は標的企業のITヘルプデスクになりすましており、これはMicrosoftが今年初めに指摘した、多段階攻撃で増加傾向にある手口です。
Expelのセキュリティ研究者であるMarcus Hutchins氏によると、この攻撃では被害者に対し、Microsoft Azure上でホストされ信頼性があるように見せかけた偽の「PowerShell Cleaner」実行ファイル(.MSI)をインストールさせるとのことです。
マルウェアの解析により、「コンパイル日時とファイルのタイムスタンプから、2026年7月28日頃に最初にコンパイル・配布されたことが示されている」ことが分かりました。
このインストーラーは、cleaner.ps1という名前のPowerShellスクリプトと、Pythonフレームワーク、悪意のあるPythonスクリプト、事前コンパイル済みのPythonライブラリ、そして複数の偽Microsoftランタイムディレクトリを含むZIPアーカイブを展開します。
攻撃者は、侵害した環境のプロファイルや作戦上の標的に応じて、展開するモジュールを選択します。
SynkLoaderという名称は、Python、PowerShell、C#、C++という異例の組み合わせを用いており、1つのモジュール内で最大3つのプログラミング言語を混在させることもある点に由来しています。
Expelは、正規の被害者を装ったハニーポットを設置して攻撃者のC2にpingを送ることで、以下のSynkLoaderモジュールを特定しました。
- System Profiler — ホスト名、ユーザー名、権限レベル、実行中のプロセス、サービス、ドメイン情報、Active Directory内のコンピューター数を収集
- Persistence Module — ランダムな名前のスケジュールタスクを作成し、ユーザーログオン時および毎日午前10時にSynkLoaderを起動
- PhishLocker — 説得力のある偽のWindowsロック画面を表示し、ユーザーのログインパスワードを取得
- TrafficRedirector — リバースプロキシを作成し、攻撃者が内部ネットワークのサービスにアクセスしたり、感染したコンピューターを経由してインターネットトラフィックをルーティングできるようにする
- Interactive Shell(RAT) — 攻撃者がPowerShellコマンドをリモートで実行し、その出力を受け取ることを可能にする
- StreamMaster(VNC) — 被害者のデスクトップをストリーミングし、アクティブなセッションのマウスとキーボードをリモートで操作可能にする
- Module Status Script — 現在実行中のマルウェアモジュールと関連スレッドを報告
偽のWindows 11ロック画面
SynkLoaderの中で最も興味深いコンポーネントは、偽のロック画面を通じて被害者のWindowsアカウントのパスワードを取得しようとするPhishLockerモジュールです。
パスワードを取得することで、攻撃者はトンネリングモジュールと組み合わせて感染デバイスから企業環境にアクセスし、IP許可リストによる制限を回避できる可能性があります。
偽のロック画面は非常に説得力のある見た目をしていますが、Expelによると、単純にAlt+Tabを押すだけで、ロック画面の裏で動作しているアクティブなウィンドウが表示されてしまうとのことです。これは、このロック画面が単なる「全画面表示のボーダーレスGUIアプリケーション」に過ぎないためです。
Hutchins氏は、SynkLoaderがActive Directory環境の規模の把握に重点を置いていることから、ランサムウェア関連の作戦で使用されている可能性が高いと述べています。
「実際に人間が手動でキーボードを操作する攻撃であることを確認するため、リバースシェルモジュール用のエミュレーターまで作成しました」と研究者は述べています。
「攻撃者は複数のプロファイリングコマンドを実行しようとしましたが、実環境ではないことに気づき、接続を切断しました」
Expelは今回観測した攻撃に関する侵害指標(IoC)を提供していますが、SynkLoaderのモジュールハッシュは感染ごとに固有であるため、防御側にとってはあまり有用ではないと注意を促しています。
ベストプラクティスとしては、ITからの依頼を独自に確認し、心当たりのないMSIファイルのインストールは避けることが挙げられます。
予期しないロック画面に遭遇した場合は、Ctrl+Alt+DeleteやAlt+Tabを試して、その真偽を確かめてください。
