Microsoft Teams se stal jedním z nejčastějších komunikačních nástrojů ve firmách. Právě důvěra, kterou zaměstnanci ke službě mají, nyní hraje do karet útočníkům. Bezpečnostní společnost Expel upozornila na novou kampaň, při níž se hackeři vydávají za pracovníky firemního IT oddělení a prostřednictvím zpráv v Teams přesvědčují zaměstnance k instalaci škodlivého programu SynkLoader. Výzkumníci zaznamenali aktivitu této kampaně přibližně během posledního měsíce.

Falešná pomoc od IT oddělení

Útok začíná poměrně nenápadně. Zaměstnanci obdrží zprávu od osoby, která se představí jako člen firemní technické podpory. Tvrdí, že na počítači odhalila problém a doporučí instalaci nástroje s názvem PowerShell Cleaner. Ten má údajně vyřešit potíže se systémem.

Ve skutečnosti jde o instalační balíček malwaru hostovaný na platformě Microsoft Azure. Útočníci tím zvyšují jeho důvěryhodnost, protože soubor pochází z legitimní cloudové infrastruktury společnosti Microsoft. Po spuštění se však do systému nainstaluje framework SynkLoader, který následně stahuje další škodlivé moduly podle potřeb útočníků.

SynkLoader je zajímavý i po technické stránce. Kombinuje několik programovacích jazyků včetně Pythonu, PowerShellu, C# a C++, což z něj dělá poměrně neobvyklý malware. Bezpečnostní analytici zároveň upozorňují, že útočníci si nejprve zmapují prostředí napadené organizace a teprve poté rozhodnou, které moduly do zařízení nasadí.

Krádež hesel i úplné převzetí počítače

Nejnebezpečnější součástí SynkLoaderu je modul PhishLocker. Ten zobrazí velmi věrnou kopii zamykací obrazovky Windows a vyzve uživatele k zadání přihlašovacího hesla. Mnoho lidí si ničeho podezřelého nevšimne, protože obrazovka vypadá téměř stejně jako originál.

Ve skutečnosti ale nejde o systémové uzamčení Windows, nýbrž o aplikaci spuštěnou přes celou obrazovku. Pokud uživatel stiskne klávesovou zkratku Alt + Tab, může odhalit, že se pod falešnou přihlašovací obrazovkou stále nacházejí otevřená okna. Tím lze podvod poměrně snadno rozpoznat. Získané přihlašovací údaje pak mohou útočníci využít k přístupu do firemní sítě a obejít některá bezpečnostní omezení.

Dalším významným modulem je Interactive Shell. Ten útočníkům umožňuje na dálku spouštět příkazy PowerShellu a získávat jejich výstup. Prakticky tak získají plnou kontrolu nad napadeným počítačem a mohou provádět další škodlivé operace, například instalovat další malware nebo pohybovat se napříč firemní sítí. Výzkumníci se domnívají, že SynkLoader může sloužit jako přípravná fáze před ransomware útokem nebo jinou rozsáhlou kompromitací podnikové infrastruktury.