Eine bislang unbekannte Schadsoftware-Familie namens SynkLoader wird derzeit in Phishing-Kampagnen \u00fcber Microsoft Teams verbreitet. Ziel ist es, \u00fcber einen gef\u00e4lschten Sperrbildschirm Zugangsdaten zu stehlen. Die Angreifer geben sich dabei als IT-Helpdesk des jeweiligen Unternehmens aus \u2013 eine Taktik, die Microsoft bereits Anfang des Jahres als zunehmend verbreitet in mehrstufigen Angriffen identifiziert hat.<\/p>\n
Die Angreifer leiten das Opfer dazu an, eine ausf\u00fchrbare Datei namens \u201ePowerShell Cleaner\u201c (.MSI) zu installieren, die in Microsoft Azure<\/a> gehostet wird. Dadurch wirkt der Download vertrauensw\u00fcrdig. Die Analyse der Malware durch Sicherheitsforscher von Expel<\/a> ergab Kompilierungsdaten und Dateizeitstempel, die auf eine erstmalige Erstellung und Verbreitung um den 28. Juli 2026<\/a> hindeuten. Das Installationsprogramm extrahiert ein PowerShell-Skript mit dem Namen \u201ecleaner.ps1\u201c sowie ein ZIP-Archiv, das das Python-Framework, ein b\u00f6sartiges Python-Skript, vorkompilierte Python-Bibliotheken und mehrere gef\u00e4lschte Microsoft-Runtime-DLLs enth\u00e4lt. Je nach kompromittierter Umgebung und operativen Zielen w\u00e4hlen die Angreifer aus, welche Module sie bereitstellen.<\/p>\n SynkLoader erhielt seinen Namen aufgrund der ungew\u00f6hnlichen Kombination aus Python, PowerShell, C# und C++ \u2013 teilweise werden in einem einzigen Modul bis zu drei Programmiersprachen verwendet. Expel identifizierte die Module, nachdem ein Honeypot eingerichtet wurde, der den Command-and-Control-Server (C2) der Angreifer anpingte und sich als legitimes Opfer ausgab.<\/p>\n Die interessanteste Komponente von SynkLoader ist das PhishLocker-Modul. Es versucht, das Windows-Kennwort des Opfers \u00fcber einen gef\u00e4lschten Sperrbildschirm zu erlangen. Mit diesem Kennwort k\u00f6nnten Angreifer zusammen mit dem Tunnelmodul auf Unternehmensumgebungen vom infizierten Ger\u00e4t aus zugreifen und IP-Allow-List-Beschr\u00e4nkungen umgehen. Obwohl der gef\u00e4lschte Sperrbildschirm besonders \u00fcberzeugend wirkt, zeigt Expel, dass ein einfaches Alt+Tab die aktiven Fenster \u00fcber dem Sperrbildschirm anzeigt \u2013 denn es handelt sich lediglich um eine \u201evollbildf\u00fcllende, randlose GUI-Anwendung\u201c.<\/p>\n Der Sicherheitsforscher Marcus Hutchins von Expel betont, dass die Ausrichtung von SynkLoader auf die Messung der Active-Directory-Umgebungsgr\u00f6\u00dfe darauf hindeutet, dass die Malware in Ransomware-Operationen eingesetzt wird. Die Forscher schrieben einen Emulator f\u00fcr das Reverse-Shell-Modul, um zu best\u00e4tigen, dass es sich um einen Hands-on-Keyboard-Angriff handelt. Der Bedrohungsakteur versuchte, mehrere Profilierungsbefehle auszuf\u00fchren, bevor er erkannte, dass er sich nicht in einer echten Umgebung befand, und die Verbindung trennte.<\/p>\n Expel ver\u00f6ffentlichte Indikatoren f\u00fcr eine Kompromittierung (Indicators of Compromise, IoCs) f\u00fcr den beobachteten Angriff, wies jedoch darauf hin, dass die Hashes der SynkLoader-Module f\u00fcr jede Infektion einzigartig sind und daher f\u00fcr Verteidiger nur begrenzt n\u00fctzlich sind. Die beste Praxis ist, IT-Anfragen unabh\u00e4ngig zu verifizieren und die Installation unaufgeforderter MSI-Dateien zu vermeiden. Bei einem unerwarteten Sperrbildschirm sollte man die Tastenkombinationen Strg+Alt+Entf oder Alt+Tab verwenden, um dessen Authentizit\u00e4t zu pr\u00fcfen.<\/p>\n Die zunehmende Professionalisierung von Phishing-Kampagnen \u00fcber Kollaborationstools wie Microsoft Teams erfordert ein Umdenken in der Sicherheitsstrategie. Unternehmen sollten ihre Mitarbeiter f\u00fcr solche Angriffe sensibilisieren und technische Kontrollen wie App-Whitelisting, strenge Authentifizierungsverfahren und regelm\u00e4\u00dfige Schulungen implementieren, um die Auswirkungen solcher mehrstufigen Angriffe zu minimieren.<\/p>\n","protected":false},"excerpt":{"rendered":" Eine bislang unbekannte Schadsoftware-Familie namens SynkLoader wird derzeit in Phishing-Kampagnen \u00fcber Microsoft Teams verbreitet. Ziel ist es, \u00fcber einen gef\u00e4lschten Sperrbildschirm Zugangsdaten zu stehlen. Die Angreifer geben sich dabei als IT-Helpdesk des jeweiligen Unternehmens aus \u2013 eine Taktik, die Microsoft bereits Anfang des Jahres als zunehmend verbreitet in mehrstufigen Angriffen identifiziert hat. SynkLoader-Malware: Modularer Aufbau […]<\/p>\n","protected":false},"author":5,"featured_media":49575,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/de\/ocie_1787348013075.jpg","fifu_image_alt":"SynkLoader-Malware in Microsoft-Teams-Phishing-Kampagne verbreitet","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-49571","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/de\/ocie_1787348013075.jpg","fifu_image_alt":"SynkLoader-Malware in Microsoft-Teams-Phishing-Kampagne verbreitet","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49571","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=49571"}],"version-history":[{"count":3,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49571\/revisions"}],"predecessor-version":[{"id":49574,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49571\/revisions\/49574"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/49575"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=49571"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=49571"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=49571"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Die sieben Module der SynkLoader-Malware im \u00dcberblick<\/h3>\n
\n
Gef\u00e4lschter Windows 11-Sperrbildschirm (PhishLocker)<\/h3>\n
Gefahrenpotenzial und Schutzma\u00dfnahmen<\/h3>\n