SynkLoaderがWindowsの偽ロック画面を悪用し、Teams経由でパスワードを窃取

Microsoft Teams上で社内IT担当者を装った一見普通のメッセージが、Windowsパスワードの窃取と社内ネットワークへの完全なアクセスにつながることがあります。Expelの研究者らは、正規のWindowsロック画面を装った認証情報窃取ウィンドウを持つ、SynkLoaderと呼ばれる新種のマルウェアファミリーを発見しました。

初期侵入：Microsoft Teams上の偽IT担当者

攻撃者は「ITサービスデスク」を名乗ってMicrosoft Teams経由で従業員に接触し、PowerShellのクリーンアップツールとして提示されるものをインストールするよう説得します。インストーラーはMSIファイルで、Microsoft Azureのストレージ上にホストされており、これが不正リンクにさらなる信頼性を与えています。パッケージの中には、PowerShellスクリプト、同梱されたPython環境、そしてSynkLoaderの中核コンポーネントが含まれています。ファイルのタイムスタンプから判断すると、このマルウェアの最初のサンプルは2026年7月28日頃に出現したとみられます。

異例に複雑な、複数言語にまたがるアーキテクチャ

SynkLoaderは、その異例なほど手の込んだアーキテクチャで際立っています。開発者はPython、PowerShell、C#、C++を組み合わせて使用しており、個々のモジュールは複数の言語を同時に利用しています。コードの一部は完全にメモリ上で動作するため、ディスク上に残る痕跡が少なく、セキュリティツールによる検知が非常に困難になっています。主要なローダーは90秒から120秒ごとに3台のコマンド&コントロールサーバーのいずれかと通信し、攻撃者から直接送られてくるPythonコードを実行できます。

偵察活動と永続化

感染したマシン上で、SynkLoaderはコンピューター名、ユーザー名、権限レベル、実行中のプロセス、稼働中のサービス、ドメイン情報を収集し、さらにActive Directory内に存在するコンピューターの台数まで列挙します。永続化を維持するため、このマルウェアはランダムな名前の予約タスクを作成し、ユーザーのログイン時と毎日午前10時に実行されるよう設定します。

PhishLocker：本物そっくりの偽Windows 11ロック画面

最も注目すべきコンポーネントがPhishLockerです。このモジュールは、ユーザー名、背景画像、パスワード入力欄を含め、Windows 11のロック画面をほぼ完璧に再現した全画面ウィンドウを開きます。入力された認証情報はすべて取得され、攻撃者へ直接送信されます。注目すべき点として、このモジュールは入力されたパスワードを実際には一切検証しないため、任意の文字列を入力するだけでこの偽画面を解除できてしまいます。また、実際に表示されているのは本物のシステムロック状態ではなく単なる全画面アプリケーションであるため、ユーザーはAlt+Tabキーを使うことでこの偽装を見破ることも可能です。

TrafficRedirector：被害者をプロキシノードに変える

窃取されたパスワードを補完する形で、TrafficRedirectorと呼ばれるモジュールが、感染したコンピューターを中継ノードへと変貌させます。これを通じて、攻撃者は被害者自身のIPアドレスを使って社内リソースや外部サービスにアクセスできるようになります。この手法はIPベースの制限を回避するのに役立ち、通常とは異なる国やネットワークからのログインに対するアラートが発動する可能性を低減します。

その他の機能：リモートコマンド実行とデスクトップ制御

このツールキットには、リモートでPowerShellコマンドを実行するユーティリティと、被害者のデスクトップを閲覧しマウスやキーボードを直接操作できるStreamMasterと呼ばれるモジュールも含まれています。Expelは、研究者らがSynkLoaderの通信プロトコルの再現に成功し、大企業のネットワークに属するマシンとしてテストシステムを提示したことで、これらのコンポーネントの入手に成功しました。およそ12時間後、攻撃者側は手動でこのおとりシステムに接続し、追加のツールの展開を開始しました。

キャンペーンの最終目的は依然として不明

このキャンペーンの最終的な目的は、明確には特定できていません。しかし、SynkLoaderはActive Directory内のコンピューター台数を意図的に列挙しており、社内ネットワーク全体の規模は、ランサムウェアの攻撃者がしばしば強い関心を寄せる情報です。Expelは低から中程度の確信度で、このツールキットはランサムウェアグループ、あるいは初期のネットワークアクセス獲得を専門とし、それを他の脅威アクターに販売するブローカーに属している可能性があると評価しています。