Malware Baru SynkLoader Disebarkan Lewat Kampanye Phishing di Microsoft Teams

Keluarga malware baru bernama SynkLoader terdeteksi disebarkan melalui kampanye phishing yang memanfaatkan platform komunikasi kerja Microsoft Teams. Serangan ini dirancang untuk mencuri kredensial pengguna korporat dengan menampilkan layar penguncian (lock screen) Windows palsu yang sangat meyakinkan.

Dalam melancarkan aksinya, pelaku ancaman menyamar sebagai staf IT help desk internal perusahaan. Korban kemudian diarahkan untuk mengunduh dan menginstal file executable palsu (.MSI) bernama “PowerShell Cleaner”. Agar terlihat sah dan tepercaya, file berbahaya tersebut di-host langsung di infrastruktur Microsoft Azure. Analisis forensik menunjukkan bahwa malware ini mulai dikompilasi dan didistribusikan secara aktif sejak akhir Juli lalu.

Struktur Modular dan Arsitektur Multi-Bahasa

Saat file penginstal dieksekusi, sistem akan mengekstrak skrip PowerShell bernama cleaner.ps1 beserta arsip ZIP yang memuat framework Python, pustaka prapemrosesan, dan beberapa file DLL runtime palsu yang meniru komponen Microsoft.

SynkLoader dinamai demikian karena arsitekturnya yang unik menggabungkan hingga empat bahasa pemrograman berbeda, yaitu Python, PowerShell, C#, dan C++, di mana beberapa modul bahkan memadukan tiga bahasa sekaligus. Berdasarkan profil target dan kebutuhan operasional, penyerang dapat menyebarkan serangkaian modul modular khusus, antara lain:

• System Profiler: Mengumpulkan informasi detail sistem mulai dari hostname, username, hak akses, proses yang berjalan, hingga jumlah komputer dalam direktori Active Directory.
• Persistence Module: Membuat scheduled task acak untuk mengeksekusi SynkLoader setiap kali pengguna log on dan setiap hari pada pukul 10 pagi.
• PhishLocker: Menampilkan lock screen Windows palsu guna menjebak korban agar memasukkan kata sandi akun mereka.
• TrafficRedirector: Membangun reverse proxy untuk merutekan lalu lintas jaringan internal korporat melalui mesin yang terinfeksi.
• Interactive Shell (RAT): Memberikan akses bagi penyerang untuk mengeksekusi perintah PowerShell secara jarak jauh (hands-on-keyboard).
• StreamMaster (VNC): Melakukan streaming tampilan desktop serta mengambil kendali penuh atas mouse dan keyboard pada sesi yang aktif.
• Module Status Script: Melaporkan status kerja dan thread dari modul malware yang sedang berjalan.

Manipulasi Layar Kunci dan Indikasi Serangan Ransomware

Komponen paling menonjol dari SynkLoader adalah modul PhishLocker. Modul ini membajak antarmuka dengan menampilkan aplikasi GUI full-screen borderless yang menyerupai lock screen Windows 11. Begitu korban memasukkan kata sandi, penyerang dapat menggabungkan kredensial tersebut dengan modul tunneling untuk menembus jaringan korporat dan melewati pembatasan daftar putih IP (IP allow-list). Pengguna dapat mendeteksi kepalsuan layar tersebut dengan menekan kombinasi tombol Alt+Tab atau Ctrl+Alt+Delete untuk melihat jendela aplikasi aktif di baliknya.

Fokus malware dalam memetakan ukuran lingkungan Active Directory mengindikasikan kuat bahwa SynkLoader dipersiapkan sebagai tahap awal (initial access) untuk operasi penyebaran ransomware berskala besar. Administrator keamanan diimbau untuk meningkatkan kewaspadaan karyawan terhadap instruksi TI yang mencurigakan serta melarang instalasi file MSI dari sumber yang tidak diverifikasi secara independen.

Sumber: Laporan Analisis Keamanan Expel