概要

セキュリティ企業Expelの研究チームは、Microsoft Teamsを悪用したフィッシングキャンペーンで拡散している新種マルウェア「SynkLoader」を発見した。攻撃者は対象企業のITヘルプデスクになりすましてMicrosoft Teams上で偽の通知を送り、「PowerShell Cleaner」と称する偽の実行ファイル（MSI形式）をインストールさせる。このファイルはMicrosoft Azure上でホストされており、正規のツールを装うことで被害者の警戒心を下げている。この手口自体は、Microsoftが年初から多段階攻撃の中で増加していると警告していた戦術と一致する。

技術的な詳細

SynkLoaderの特徴は、Python、PowerShell、C#、C++という複数のプログラミング言語を単一モジュール内で最大3つ組み合わせている点にある。偽インストーラーの実行後、PowerShellスクリプト「cleaner.ps1」、Pythonフレームワークを含むZIPアーカイブ、悪意あるPythonスクリプト、偽のMicrosoftランタイムDLLなどが展開される。

マルウェアは複数の機能モジュールで構成されており、中でも最も危険とされるのが「PhishLocker」だ。偽のWindows 11ロック画面を全画面表示してユーザーにログイン情報を入力させ、認証情報を窃取する。ただし、これは単なるフルスクリーンアプリケーションであるため、Alt+Tabキーを押すと背後のウィンドウが露出し、偽物であることが判明する。

このほかにも、ホスト名やユーザー名、実行中プロセス、Active Directory情報を収集する「システムプロファイラー」、ランダムな名前のスケジュール済みタスクを作成する永続化機能、内部ネットワークへのアクセスを可能にする「トラフィックリダイレクター（リバースプロキシ）」、PowerShellコマンドを実行できるインタラクティブシェル（RAT）、そしてVNCによるデスクトップ配信・遠隔操作を行う「StreamMaster」など、多岐にわたるモジュールが確認されている。PhishLockerで窃取した認証情報とトラフィックリダイレクターを組み合わせることで、攻撃者はIPホワイトリストによる制限を回避し、社内ネットワークへ侵入できるようになるという。

攻撃者の意図と検出の背景

セキュリティ研究者のMarcus Hutchins氏は、SynkLoaderがActive Directory環境の規模測定に注力していることから、ランサムウェア攻撃活動に使用されている可能性が高いと指摘している。Expelの研究者はハニーポット環境を構築し、あえて攻撃者のC2サーバーに接続することで、これら複数のモジュールの機能を確認した。マルウェアは2026年7月28日頃に初めてコンパイル・配布されたとみられている。また、感染ごとにモジュールのハッシュ値が一意になるよう作られているため、従来のハッシュベースの検出手法では防御が難しいという課題も指摘されている。

推奨される対策

Expelは、IT部門を名乗る依頼を受けた場合はTeams以外の独立したチャネルで真正性を確認すること、未承認のMSIファイルのインストールを避けること、ロック画面が表示された際はCtrl+Alt+DeleteキーやAlt+Tabキーを押して本物のWindowsロック画面かどうかを確認することを推奨している。Microsoft Teamsのような業務用コラボレーションツールを悪用したソーシャルエンジニアリング攻撃は今後も増加が見込まれ、組織にはツールの正規機能だけでなく、こうしたなりすまし攻撃への警戒も求められる。