🔍 Contexte

Publié le 20 août 2026 par Marcus Hutchins sur le blog d’Expel, cet article présente l’analyse technique complète d’une nouvelle famille de malware baptisée SynkLoader, découverte le 18 août 2026 lors d’une investigation sur le réseau d’un client ayant déclenché une alerte EDR sur une tâche planifiée.

🎯 Vecteur d’entrée initial

L’attaque débute par du phishing via Microsoft Teams : un attaquant se faisant passer pour un membre du helpdesk IT (via une adresse @<company>.onmicrosoft.com) convainc la victime de télécharger un installeur MSI nommé PowershellCleaner depuis un endpoint Azure Blob Storage (https://filereserve.blob.core.windows.net/vgnghuyk/331/331.msi).

🔗 Chaîne d’infection

La chaîne d’attaque est particulièrement complexe et multi-couches :

  1. MSI installer (PowershellCleaner) extrait archive6.zip et cleaner.ps1
  2. PowerShell exécute du code en mémoire via hex encoding + Base64 + AES-CBC
  3. Loader Python (ss.py) lancé depuis %AppData%\<random>\fl\ang\pythonw.exe avec un environnement Python embarqué
  4. Communication C2 chiffrée avec ChaCha20 modifié (sigma values personnalisées) vers 3 domaines hardcodés
  5. Module de profilage système via msvcp150.dll (DLL C# malveillante exécutant du PowerShell en mémoire)
  6. Module de persistance via msvcp160.dll (loader DLL natif) → DLL C++ embarquée en Base64 → installation de tâche planifiée via COM/Task Scheduler (CLSID_TaskScheduler)

🛠️ Techniques d’évasion notables

  • Exécution entièrement en mémoire (PowerShell, DLLs, modules Python)
  • Utilisation de faux DLLs Microsoft (msvcp150.dll, msvcp160.dll) pour masquer les modules malveillants
  • Python embarqué pour éviter la dépendance à l’installation système
  • Chiffrement C2 avec ChaCha20 modifié (sigma values non-standard)
  • Persistance via interface COM pour contourner les détections basées sur schtasks.exe
  • Noms de répertoires et tâches planifiées aléatoires (12-16 caractères alphanumériques)

🕵️ Renseignements sur l’acteur

Aucun acteur nommé. Un artefact PDB laissé par inadvertance révèle le chemin : C:\Users\genry\source\repos\pwshnewdll\x64\Release\pwshnewdll.pdb. Les premiers artefacts datent du 28 juillet 2026.

📋 Type d’article

Analyse technique approfondie publiée par une équipe de réponse à incident, visant à documenter une nouvelle famille de malware et à partager les IOCs et TTPs associés avec la communauté CTI.

🧠 TTPs et IOCs détectés

TTP

  • T1566.004 — Phishing: Spearphishing via Service (Initial Access)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1027.010 — Obfuscated Files or Information: Command Obfuscation (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1055 — Process Injection (Defense Evasion)
  • T1620 — Reflective Code Loading (Defense Evasion)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
  • T1082 — System Information Discovery (Discovery)
  • T1057 — Process Discovery (Discovery)
  • T1007 — System Service Discovery (Discovery)
  • T1016 — System Network Configuration Discovery (Discovery)
  • T1018 — Remote System Discovery (Discovery)
  • T1033 — System Owner/User Discovery (Discovery)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1573 — Encrypted Channel (Command and Control)
  • T1132.001 — Data Encoding: Standard Encoding (Command and Control)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1566.001 — Phishing: Spearphishing Attachment (Initial Access)

IOC

  • Domaines : neversoftmain.net — VT · URLhaus · ThreatFox
  • Domaines : rootfarmapp.net — VT · URLhaus · ThreatFox
  • Domaines : tripinupdate.net — VT · URLhaus · ThreatFox
  • URLs : https://filereserve.blob.core.windows.net/vgnghuyk/331/331.msi — URLhaus
  • Fichiers : 331.msi
  • Fichiers : archive6.zip
  • Fichiers : cleaner.ps1
  • Fichiers : ss.py
  • Fichiers : msvcp150.dll
  • Fichiers : msvcp160.dll
  • Fichiers : pwshnewdll.pdb
  • Chemins : %LocalAppData%\PowershellCleaner\script
  • Chemins : %AppData%\<random>\fl\ang\ss.py
  • Chemins : %AppData%\<random>\fl\ang\pythonw.exe
  • Chemins : C:\Users\genry\source\repos\pwshnewdll\x64\Release\pwshnewdll.pdb
  • Chemins : C:\Users\<username>\AppData\Roaming\<random directory>\fl\ang\

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 22 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • SynkLoader (loader)

🟢 Indice de vérification factuelle : 65/100 (haute)

  • ⬜ expel.com — source non référencée (0pts)
  • ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 16 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 3/4 IOCs confirmés (ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 22 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • neversoftmain.net (domain) → VT (10/91 détections)
  • rootfarmapp.net (domain) → VT (9/91 détections)
  • tripinupdate.net (domain) → VT (11/91 détections)

🔗 Source originale : https://expel.com/blog/synkloader-when-you-throw-in-everything-but-the-kitchen-sink/