新型惡意軟體SynkLoader現身，偽裝微軟IT支援誘騙安裝

資安公司 Expel 研究團隊近期發現一款整合多種攻擊手法的新型惡意軟體，並命名為 SynkLoader。此名稱源於它幾乎囊括資安圈常見的各種攻擊技巧：一方面沿用既有作法（例如在記憶體中直接執行程式碼、建立排程任務），另一方面也採用較少見的新手法。目前仍不清楚攻擊者開發此工具的最終目的，但從程式碼線索來看，它可能是勒索軟體集團或初始存取掮客（Initial Access Broker, IAB）打造的攻擊前哨工具，用於替後續勒索軟體攻擊鋪路。

假冒微軟 IT 服務台，釣魚郵件誘導安裝

根據編譯中繼資料研判，SynkLoader 可能於今年 7 月 28 日首度部署；Expel 研究人員則在 8 月 18 日於一名客戶的網路中首次發現其蹤跡。此事件源於一封釣魚郵件：攻擊者自行註冊採用微軟預設 onmicrosoft.com 網域結構的 Microsoft 365 租戶，並以「IT 服務台」名義寄信，誘導受害者安裝一款偽裝成 PowerShell 系統維護工具的程式。該安裝程式甚至託管於官方 Microsoft Azure 儲存頁面上，以提高可信度。

Python搭配偽造DLL，降低被偵測機率

安裝程式啟動後會釋放一連串惡意元件，包括在暫存記憶體中執行的 PowerShell 腳本、一套精簡版 Python 環境、向攻擊者命令與控制(Command and Control, C2)網域回傳信標的 Python 腳本，以及多個偽造的微軟執行階段動態連結庫(Dynamic Link Library, DLL)。Expel 研究員 Marcus Hutchins 表示，過去以 Python 撰寫的惡意軟體並不多見，可降低觸發端點偵測與應變(Endpoint Detection and Response, EDR)系統警示的機率；但 Python 無法完成部分惡意行為，攻擊者因此另以 C 語言撰寫原生 DLL 補強。他也提到，正常安裝的 Python 環境通常位於固定路徑，SynkLoader 卻將其放進應用程式資料(AppData)下的隨機資料夾，「位置異常的 Python 執行檔」可作為偵測指標。

多重模組：從網路側寫到橫向移動

SynkLoader 內建的 DLL 模組相當多元：包含收集受害電腦執行程式、使用者權限、Active Directory（AD）網域名稱與網路規模的系統側寫模組；透過調用 Windows 元件物件模組（Component Object Model, COM）介面建立排程任務、藉此規避偵測的持久化模組；具備遠端存取木馬（RAT）功能與桌面接管能力的模組；以及能利用受害電腦 IP 位址轉發流量、存取內部區域網路（LAN）服務的反向代理模組。專家指出，量測受害網路規模通常只有勒索軟體集團才感興趣：因為進階持續性威脅（APT）攻擊者在鎖定目標前往往已掌握其規模；反而是機會主義式的勒索軟體攻擊者，才會在入侵後進一步摸清網路規模。

PhishLocker：重現絕跡已久的螢幕鎖定手法

眾多模組中，最引人注意的是「PhishLocker」。螢幕鎖定曾是攻擊者慣用手法，透過 JavaScript 讓瀏覽器進入全螢幕模式，藉此騙取密碼；但隨瀏覽器廠商淘汰相關功能而逐漸銷聲匿跡。SynkLoader 改以 DLL 重現類似效果，其外觀與真正的 Windows 登入鎖定畫面幾乎難以分辨，會持續阻擋受害者，直到對方輸入 Windows 帳戶密碼為止；目前尚未發現該軟體具備驗證密碼正確性的機制。如今企業普遍採用單一登入（Single Sign-On, SSO）架構，登入密碼往往與存取其他企業資產的密碼相同，這使 PhishLocker 成為攻擊者橫向移動時取得憑證的有效手段。

目前尚無資料顯示 SynkLoader 已鎖定台灣企業或機構，但其手法不具地域限定性；建議企業資安團隊留意上述偵測指標，並檢視對來源不明 PowerShell 與 Python 執行檔案的監控機制。

本文轉載自 DarkReading。