新型マルウェア「SynkLoader」、偽のWindowsロック画面でパスワードを窃取しネットワーク侵入の足がかりに

SynkLoaderは、Python、C#、C++、PowerShell、そしてメモリ常駐型ペイロードを組み合わせてエンドポイント検知を回避する、新たに確認されたモジュール型マルウェアフレームワークです。

Anti-malwaresoftware

Microsoft Teamsを悪用したフィッシングを通じて配布されるこの攻撃キャンペーンでは、本物そっくりの偽Windowsロック画面を使って認証情報を窃取した後、ネットワークトンネリングと対話的アクセスを実行し、侵害した企業環境への侵入を進めます。

コンパイルのタイムスタンプとファイルのメタデータから、このツールキットは2026年7月28日前後に組み立てられ、展開された可能性が高いとみられます。

初期侵入経路はTeamsを利用したソーシャルエンジニアリングでした。攻撃者は社内IT サービスデスクの担当者を装い、Microsoft 365の既定テナントドメインである@company.onmicrosoft.comアドレスを使って標的に接触しました。このドメインを使うことで、なりすましがより信ぴょう性の高いものに見えてしまいます。

被害者は、Azure Blob Storageのエンドポイント上でホストされ、「PowershellCleaner」というユーティリティを装ったMSIパッケージをダウンロードするよう仕向けられました。

起動すると、このMSIはZIPアーカイブとPowerShellスクリプトを%LocalAppData%\PowershellCleaner\scriptに書き込みます。

このスクリプトは、隠しPowerShell実行、16進文字の再構成、Base64エンコード、AES-CBC暗号化、そしてInvoke-Expressionを用いて、次段階の処理をすべてメモリ上で実行します。

スクリプトは%AppData%配下にランダムな16文字のディレクトリを作成し、ペイロードを展開した上で、同梱されたPythonランタイムをpythonw.exe経由で起動します。

自己完結型のPython実行環境を同梱することで、SynkLoaderはPythonインタプリタが事前インストールされていないシステム上でも動作できるようになっています。

主要なPythonコンポーネントであるss.pyは、neversoftmain[.]net、rootfarmapp[.]net、tripinupdate[.]netを含む、ハードコードされたコマンド&コントロール(C2)インフラの中からランダムに選択して通信します。

ビーコン通信は90秒から120秒間隔で行われ、ChaCha20で暗号化されたJSON形式のトラフィックが使われますが、攻撃者はChaCha20の標準的なSigma定数を改変しています。ランダムに生成されるインストールディレクトリ名は、被害者の識別子と暗号化キーの両方の役割を兼ねています。

このローダーのC2設計は、運用者にシンプルながら強力な実行手段を与えています。サーバーからの応答を復号し、それをそのままPythonのexec関数に渡す仕組みになっているのです。

これにより、後続の各モジュールをディスクに書き出すことなく、任意のPythonコードをメモリ上で実行できます。

Expelの研究者によると、この攻撃キャンペーンが最初に確認されたのは8月18日で、顧客ネットワーク上で不審なスケジュールタスクをEDRアラートが検知したことがきっかけでした。分析の結果、このローダーやその構成要素について事前に公開された言及は見つかりませんでした。

SynkLoaderのプロファイリング機能からは、運用者が企業環境を重点的な標的としていることがうかがえます。

Microsoft Visual C++ランタイムを装った悪意あるDLL「msvcp150.dll」は、PowerShellの実行機能をPythonローダーに公開する役割を担っています。

SynkLoaderマルウェアの詳細

その後マルウェアは、ホスト名、ユーザー名、権限、実行中のプロセス、サービス、ドメイン所属、Active Directoryのコンピューター数など、システムに関する各種情報を収集します。

Anti-malwaresoftware

埋め込まれたデバッグパスからは、C:\Users\genry\source\repos\pwshnewdllなど、「genry」という名前の開発者アカウントの存在がうかがえます。

研究者らはC2プロトコルをエミュレートし、あるエンドポイントが大規模なActive Directory環境に属しているように見せかけた偽のテレメトリ情報を送信しました。

これに対する反応は迅速でした。C2は永続化モジュールと認証情報フィッシングモジュールを送り込み、続けてハンズオンキーボード型の侵入に適したツール群を配信してきたのです。

残りの痕跡が確認できたのは、このコードがWindows 11のロック画面を模倣するよう設計されている一方で、私たちの分析環境はWindows 10で動作しているためです。

永続化は、別の偽ランタイムDLLであるmsvcp160.dllを通じて実装されており、このDLLはネイティブDLLを手動でメモリにマッピングします。

このペイロードは、schtasks.exeではなくWindowsタスクスケジューラのCOMインターフェースを介してランダムな名前のスケジュールタスクを作成します。これにより、コマンドライン上のテレメトリを減らし、振る舞い検知ルールを回避しています。

このタスクは、ユーザーのログオン時、および毎日午前10時にPythonローダーを再起動します。

最も特徴的なペイロードは「PhishLocker」と名付けられており、Windowsのロック画面を模倣するよう設計されたフルスクリーンGUIを表示します。

現在ログイン中のユーザー名とローカルのWindowsロック画面画像を取得した上で、パスワード入力プロンプトを表示し、ユーザーの平文パスワードを窃取しようとします。

ユーザーは技術的には任意の値を入力することでこの偽画面を回避できますが、視覚的な欺瞞効果は十分高く、認証情報を窃取される重大なリスクを生み出します。

Mimikatzのような認証情報ダンプツールとは異なり、この手法はNTLMハッシュではなく生のパスワードそのものを狙います。

この違いはSSO対応環境において重要な意味を持ちます。有効なパスワード一つで、VPN、SaaS、社内アプリケーション、メール、特権システムなど幅広い範囲へのアクセスが可能になってしまうためです。

SynkLoaderはさらに、「TrafficRedirector」というリバースプロキシモジュールも展開します。これは攻撃者のインフラへの外向き接続を確立し、運用者が指定した社内または外部の宛先へトラフィックを転送するものです。

窃取した認証情報と組み合わせることで、攻撃者はLAN内限定のサービスにアクセスする経路を得るとともに、被害者の企業ネットワーク接続を経由することでIPアドレスによる許可リスト制御を回避できるようになります。

その他のモジュールとしては、メモリ常駐型のPowerShellリバースシェルや、被害者のアクティブなデスクトップをストリーミングし、キーボードやマウスの入力を注入できるPython製VNCコンポーネント「StreamMaster」も含まれています。

このツール群からは、自動化された初期侵入の確立から、運用者による直接的な操作へと移行することを意図した設計がうかがえます。

防御担当者は、Teams経由でのソフトウェアダウンロード、想定外のPythonランタイム同梱、AppDataからの不審なpythonw.exe実行、そしてランダムな名前が付けられたスケジュールタスクの有無を調査すべきです。

ネットワーク担当チームは、特定されたC2ドメインをブロックまたは監視対象とし、本記事で説明した暗号化ビーコンパターンに関連する外向きトラフィックを確認する必要があります。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。実際の表記に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

★ どのセキュリティツールを削減すべきか? 1ページでスコアリング – 「継承したセキュリティスタック」ガイドをダウンロード

Securityconsulting services