新マルウェア「SynkLoader」、Microsoft TeamsでITヘルプデスクになりすまし　偽ロック画面で認証情報窃取を狙う

セキュリティ企業Expelは2026年8月20日、新たなマルウェアファミリー「SynkLoader」の分析結果を公開しました。発端は8月18日に顧客ネットワークで検知した不審なスケジュールタスクで、調査の結果、Microsoft Teams上でITヘルプデスクを装い、Microsoft Azureのストレージから偽の「PowerShell Cleaner」MSIをインストールさせる攻撃が確認されました。

SynkLoaderは、感染端末の情報収集、永続化、偽Windowsロック画面による認証情報窃取、内部ネットワークへのトンネリング、遠隔操作など複数の機能を持つモジュール型ツールです。ただし、偽ロック画面や遠隔操作モジュールなどの後続機能は、ExpelがC2通信をエミュレートした分析環境で取得したものです。元の顧客環境で認証情報窃取やランサムウェア展開まで確認されたとは公表されていません。

SynkLoaderのサマリー

• 確認済み：Expelは2026年8月18日、顧客ネットワークのEDRが検知したスケジュールタスクを起点に、未知のローダーを確認しました。
• 確認済み：マルウェアのコンパイル日時やファイルタイムスタンプから、2026年7月28日ごろに初めてコンパイル・配布された可能性があるとExpelは分析しています。
• 確認済み：初期侵入ではMicrosoft Teamsが悪用され、攻撃者は「IT Service Desk」を名乗って標的へ接触しました。
• 確認済み：標的はMicrosoft Azure Blob Storage上のMSIを「PowerShell Cleaner」としてインストールするよう誘導されました。
• 確認済み：SynkLoaderはPython、PowerShell、C#、C++を組み合わせたモジュール型マルウェアで、システム情報収集や永続化の機能を備えています。
• 確認済み：Expelの分析環境では、偽Windowsロック画面でパスワード入力を促す「PhishLocker」、リバースプロキシ、対話型シェル、VNC相当の遠隔操作モジュールが取得されました。
• 確認済み：Microsoftは2026年4月、別の攻撃観測として、外部Teams通信でIT・ヘルプデスクを装う人手主導の侵入手法が増えていると注意喚起しています。
• 未確認：元の顧客環境でPhishLockerによる認証情報窃取が成功したかは公表されていません。
• 未確認：元の顧客環境で情報流出、ランサムウェア展開、暗号化、身代金要求が発生したとの確認はありません。
• 未確認：攻撃者の帰属は特定されていません。Expelはランサムウェアグループまたはランサムウェアグループへアクセスを販売するInitial Access Broker（IAB）の可能性を「low-medium confidence」と評価しています。

Expelが8月18日に顧客環境で未知のローダーを確認

Expelによると、調査は2026年8月18日、顧客ネットワークでEDRがスケジュールタスクを検知したことから始まりました。当時、ローダーや各コンポーネントに既知の公開情報はなく、Expelは新たなマルウェアファミリーとして「SynkLoader」と命名しました。

分析したファイルのコンパイル日時やタイムスタンプから、SynkLoaderは7月28日ごろに初めてコンパイル・配布された可能性があるとしています。ただし、被害組織の名称、業種、所在国、同様の攻撃を受けた組織数などは公表されていません。

Microsoft Teamsで「IT Service Desk」を装い、Azure上のMSIを導入させる

ExpelはMicrosoft Teamsの会話全体を復元できなかったものの、残されたメタデータから、攻撃者が「IT Service Desk」を名乗り、<username>@<company>.onmicrosoft.com形式のアカウントで標的に接触していたことを確認しました。

標的は、Microsoft Azure Blob Storage上に置かれたMSIをダウンロードしてインストールするよう誘導されました。MSIは「PowershellCleaner」を名乗り、実行するとPowerShellスクリプトやPython実行環境を含むアーカイブを展開し、SynkLoaderのローダーを起動します。

ここで重要なのは、Microsoft Teamsの脆弱性が悪用されたと確認されたわけではない点です。Microsoftも2026年4月の別調査で、外部テナントからIT・ヘルプデスク担当者を装ってTeams上で接触し、利用者に自ら操作を行わせる攻撃を報告しています。Microsoftは、この種の侵入についてTeamsの機能上の欠陥ではなく、正規のコラボレーション機能とソーシャルエンジニアリングの悪用だと説明しています。

セキュリティ対策Labでは、Microsoftが公表した同種のTeamsヘルプデスクなりすましについて「Microsoft、Teamsを悪用したサポート詐欺の詳細な手口を公表」でも解説しています。

SynkLoaderは複数言語を組み合わせたモジュール型マルウェア

SynkLoaderの初期ローダーにはPython実行環境が同梱され、感染端末からC2へ通信して追加コードを受け取る構成になっていました。Expelは、Python、PowerShell、C#、C++が複数段階で組み合わされている点を特徴として挙げています。

最初に確認されたシステムプロファイリング機能は、ホスト名、ログオンユーザー、権限レベル、実行中プロセス、サービス、Active Directoryドメイン名、ADに参加するコンピューター数などを収集します。

また、永続化モジュールはランダムな名称のスケジュールタスクを作成し、ユーザーのログオン時と毎日午前10時にSynkLoaderを再実行するよう構成されていました。Expelは、複数のDLLをメモリ上で実行する仕組みも確認しており、ディスク上に残るアーティファクトを抑える設計だとしています。

偽ロック画面や遠隔操作機能は分析環境で取得

SynkLoaderの分析で特に注意が必要なのは、元の顧客環境で確認された事実と、Expelが分析環境で取得した後続モジュールを分けて読むことです。

ExpelはC2プロトコルを解析し、数千台規模のActive Directory環境に感染したように見せかけたエミュレーターを用意しました。その結果、永続化モジュールに続き、偽のWindowsロック画面を表示する「PhishLocker」が送信されました。さらに翌朝には、リバースプロキシ機能の「TrafficRedirector」、対話型シェル、VNC相当の「StreamMaster」なども取得しています。

PhishLockerは、現在のユーザー名やWindowsのロック画面画像を利用して、Windows 11のロック画面に近い全画面GUIを表示し、ユーザーにパスワード入力を促す機能です。入力内容をWindows側で正しいパスワードか検証しないため、Expelの分析では任意の文字列を入力して画面を抜けられることも確認されています。

TrafficRedirectorは感染端末を中継点として利用するリバースプロキシで、攻撃者が感染端末のIPアドレスを経由して外部サービスや社内ネットワークへ接続できるようにする機能です。これに認証情報窃取が組み合わさると、IPアドレスや地理情報だけに依存したアクセス制御では異常を見つけにくくなる可能性があります。

ただし、これらのモジュールが元の顧客環境へ実際に配信され、認証情報窃取や遠隔操作に成功したとExpelが公表したわけではありません。

ランサムウェアとの関係は未確認

Expelは、SynkLoaderのシステムプロファイリング機能がActive Directory内のコンピューター数を数える点などから、ランサムウェアグループまたはランサムウェアグループへ侵入済み環境へのアクセスを販売するIABが使用している可能性を指摘しています。

ただし、評価の確度は「low-medium confidence」で、攻撃者の最終目的や帰属は特定できていないとしています。今回確認された顧客環境でランサムウェアが展開された、ファイルが暗号化された、情報が外部へ流出した、身代金要求が行われたといった事実は一次情報では確認できません。

そのため、「SynkLoaderによるランサムウェア被害」と断定するのは現時点では適切ではありません。

Expelが公開した主なIoC

Expelは、初期インストーラーやローダー、C2ドメインなどのIoCを公開しています。一方、被害端末ごとの識別子がハードコードされる一部モジュールについては、感染ごとにハッシュが変わるため公開していないと説明しています。

IoCは攻撃者側で変更される可能性があります。ハッシュやドメインへの一致だけに依存せず、Teams上の外部接触、MSI実行、AppData配下からのPython実行、不審なスケジュールタスク作成、外向きC2通信など複数の挙動を組み合わせて確認する必要があります。

情報システム部門への示唆

今回の事例では、メールではなくMicrosoft Teams上の「社内ITサポートらしい連絡」が入口になりました。MicrosoftはTeamsの外部アクセスについて、既定ではすべての外部ドメインが許可される構成があるため、業務要件に応じて「許可する外部ドメインのみ」に絞る、または不審なドメイン・ユーザーをブロックする設定を用意しています。外部連携を広く利用している組織では、現在のTeams外部アクセス設定を棚卸しする必要があります。

Microsoftは、Teamsでの外部送信者表示やAccept／Blockの警告を利用者が確認できる状態にすること、Safe LinksやZAPを有効化すること、Conditional AccessでMFAと準拠デバイスを要求すること、不要なリモート管理ツールを制限することなどを推奨しています。

運用面では、ヘルプデスクが従業員へ連絡する正式なチャネル、表示名、ドメイン、電話番号などを明確にし、想定外のサポート依頼は別経路で本人確認するルールが有効です。「ITサポートからの連絡だから安全」と判断しないことを、メールフィッシング対策と同じレベルでTeamsにも適用する必要があります。

また、偽ロック画面で認証情報を入力した可能性がある場合は、単純な端末隔離だけでなく、信頼できる端末からのパスワード変更、既存セッションの無効化、認証ログの確認、感染端末を経由した内部アクセスの有無まで確認することが重要です。SynkLoaderのTrafficRedirectorのような機能を考慮すると、送信元IPだけを基準にしたアクセス制御では不十分です。端末準拠性、MFA、権限、認証コンテキストを組み合わせたアクセス制御が求められます。

出典

• SynkLoader: when you throw in everything but the kitchen sink – Expel
• Cross-tenant helpdesk impersonation to data exfiltration: A human-operated intrusion playbook – Microsoft Security Blog
• IT Admins – Manage external meetings and chat with people and organizations using Microsoft identities – Microsoft Learn
• Block domains and addresses in Microsoft Teams using the Tenant Allow/Block List – Microsoft Learn
• Teams security best practices for safer messaging – Microsoft Learn
• Microsoft、Teamsを悪用したサポート詐欺の詳細な手口を公表 – セキュリティ対策Lab

関連記事

株式会社データスコープ社製の顔認証カメラの脆弱性に関するお知らせ株式会社データスコープ社製の ロックビット（Lock Bit）が米連邦準備銀行(FRB)へのハッキングを主張 専門家は懐疑的 住友重機械工業が不正アクセスに関する続報と個人情報漏洩を発表 EDRの必要性とは 注目される背景から他のセキュリティソリューションとの違いまで解説 DeepSeekは悪意のあるプロンプトを容易に生成・脱獄も可 海外企業調査 DeepSeekのiOS版はデータが暗号化されず、ByteDance(TikTok の運営)へユーザー情報が送信される可能性 電気通信大学、学内へのばらまき型脅迫詐欺メール（性的脅迫メール）に関する注意喚起 日本通信、法人向けオンライン申し込みで個人情報誤表示で情報漏洩の可能性 プロゲーマーのSNS乗っ取り被害、犯人は有名企業の社員になりすまし周到な手口でマルウェアをダウンロードさせる

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)