SynkLoader: Malware Baru dengan Enam Modul Berbahaya Menyusup Lewat Microsoft Teams

Serangan dari Dalam Aplikasi yang Dipercaya

Di tengah maraknya penggunaan Microsoft Teams sebagai platform komunikasi utama di lingkungan korporat, para peneliti keamanan dari Expel mengungkap kampanye phishing yang memanfaatkan kepercayaan tersebut secara efektif. Famili malware yang belum pernah terdokumentasi sebelumnya, dinamakan SynkLoader, ditemukan didistribusikan melalui pesan Teams yang mengimpersonasi meja bantuan IT internal organisasi target.

Yang menarik perhatian para peneliti adalah keragaman bahasa pemrograman yang digunakan dalam satu malware. SynkLoader mengombinasikan Python, PowerShell, C#, dan C++ dalam satu framework, terkadang mencampur hingga tiga bahasa dalam satu modul tungal. Kombinasi yang tidak biasa ini memunculkan spekulasi bahwa pengembangnya sengaja merancang malware untuk menghindari deteksi berbasis pola yang biasanya menargetkan satu bahasa tertentu.

Analisis timestamp kompilasi menunjukkan bahwa SynkLoader pertama kali dikompilasi dan didistribusikan sekitar 28 Juli 2026, meskipun kampanye ini baru terungkap beberapa minggu kemudian. Artinya, ada jangka waktu di mana serangan ini berjalan tanpa terdeteksi di beberapa lingkungan.

Rantai Serangan: Dari Pesan Teams ke Pengambilalihan Desktop

Modus operandi kampanye ini dimulai dengan pesan di Microsoft Teams yang dikirim dari akun yang mengaku sebagai bagian IT help desk. Korban diarahkan untuk mengunduh executable bernama “PowerShell Cleaner” dalam format .MSI yang dihosting di Microsoft Azure, memberikan kesan keabsahan pada file yang diunduh.

Saat dijalankan, installer mengextract file PowerShell bernama cleaner.ps1 beserta arsip ZIP yang berisi framework Python, script Python berbahaya, library Python precompiled, dan beberapa DLL Microsoft runtime palsu. Setelah dipasang, SynkLoader mengumpulkan informasi lingkungan target dan memilih modul mana yang akan diaktifkan berdasarkan profil operasional korban.

Expel, yang mengatur honeypot untuk memantau aktivitas C2 SynkLoader, mengidentifikasi enam modul yang masing-masing memiliki fungsi spesifik.

Modul pertama, System Profiler, mengumpulkan informasi dasar sistem termasuk hostname, nama pengguna, level hak istimewa, proses yang berjalan, layanan, detail domain, dan jumlah komputer di Active Directory. Data ini menjadi fondasi bagi penyerang untuk memahami lingkungan yang sudah mereka kendalikan.

Modul kedua, Persistence, membuat scheduled task yang menjalankan SynkLoader saat pengguna login dan setiap hari pukul 10 pagi. Penamaan task sengaja dibuat acak untuk menghindari deteksi berdasarkan pola nama.

Modul ketiga, PhishLocker, adalah komponen paling inovatif dari SynkLoader. Modul ini menampilkan layar kunci Windows palsu yang meyakinkan dan meminta korban memasukkan password akun Windows mereka. Kredensial yang berhasil dicuri kemudian dapat digunakan bersama modul tunneling untuk mengakses lingkungan korporat dari perangkat yang terinfeksi, secara efektif melewati pembatasan IP allow-list.

Modul keempat, TrafficRedirector, membuat reverse proxy yang memungkinkan penyerang menjangkau layanan jaringan internal atau merutekan lalu lintas internet melalui komputer yang terinfeksi. Kemampuan ini sangat berharga bagi aktor ancaman karena membuka akses ke layanan internal yang seharusnya tidak dapat dijangkau dari luar.

Modul kelima, Interactive Shell, berfungsi sebagai RAT (Remote Access Trojan) yang memungkinkan penyerang menjalankan perintah PowerShell secara remote dan menerima output-nya. Hutchins, peneliti Expel, mengonfirmasi bahwa modul ini digunakan dalam serangan hands-on-keyboard, di mana penyerang secara aktif mengendalikan komputer yang terinfeksi.

Modul terakhir, StreamMaster, menawarkan kemampuan VNC yang menyiarkan desktop korban dan memungkinkan kontrol mouse dan keyboard jarak jauh dari sesi aktif.

Mengapa Ini Lebih dari Sekadar Phishing Biasa

Arsitektur SynkLoader menunjukkan pola pikir yang matang dalam perencanaan serangan. Setiap modul dirancang untuk satu tahap tertentu dalam rantai pembunuhan digital: profiling, persistensi, pencurian kredensial, eskalasi akses, dan eksekusi.

Hutchins dari Expel menyoroti bahwa fokus SynkLoader dalam mengukur ukuran lingkungan Active Directory mengindikasikan kuat bahwa malware ini dirancang sebagai penyangga untuk operasi ransomware. Dengan mengetahui jumlah komputer di domain, penyerang dapat memperkirakan nilai tebusan dan merencanakan enkripsi massal.

Pernyataan Hutchins mengenai pengembangan emulator reverse shell hanya untuk memastikan bahwa itu adalah serangan nyata memberikan gambaran tentang tingkat kecanggihan yang dihadapi. Tim peneliti harus membangun infrastruktur tiruan sendiri untuk berinteraksi dengan C2 tanpa membahayakan lingkungan produksi, sebuah langkah yang tidak diperlukan untuk malware yang lebih primitif.

Yang juga perlu diperhatikan adalah cara penyerang memanfaatkan kepercayaan terhadap infrastruktur cloud. Hosting file berbahaya di Microsoft Azure membuat tautan unduhan terlihat legitimate di mata korban yang tidak waspada, dan mungkin melewati filter URL yang hanya memblokir domain mencurigakan.

Rekomendasi Pertahanan

Pertahanan terhadap serangan seperti ini memerlukan pendekatan berlapis yang dimulai dari kesadaran manusia hingga kontrol teknis.

Langkah paling dasar namun krusial adalah memverifikasi setiap permintaan pemasangan perangkat lunak yang datang melalui saluran komunikasi, termasuk Microsoft Teams. IT help desk yang sah tidak akan pernah meminta pengguna mengunduh dan menjalankan file .MSI melalui pesan chat. Jika ada keraguan, hubungi meja bantuan IT melalui saluran telepon atau sistem ticketing yang sudah ada.

Bagi pengguna yang menemui layar kunci tidak dikenal, menekan Alt+Tab atau Ctrl+Alt+Delete akan langsung mengekspos apakah layar tersebut benar-benar layar kunci sistem atau hanya aplikasi GUI full-screen borderless yang menirunya. Ini adalah cara paling sederhana untuk mengidentifikasi modul PhishLocker.

Dari sisi keamanan teknis, organisasi perlu menerapkan kontrol eksekusi yang membatasi instalasi file .MSI dari sumber yang tidak diverifikasi. Membatasi akses ke layanan cloud seperti Azure Blob Storage dari perangkat korporat juga dapat mempersempit permukaan serangan. Pemantauan terhadap scheduled task yang tidak dikenal dan proses PowerShell yang diluncurkan dari lokasi tidak biasa menjadi deteksi penting terhadap modul persistensi SynkLoader.

Yang tidak kalah penting, pemantauan aktivitas reverse proxy dan koneksi ke alamat IP yang tidak dikenal dari workstation dapat membantu mendeteksi modul TrafficRedirector sebelum penyerang sempat memanfaatkannya secara luas.