SynkLoader: Neue Malware nutzt Teams für Datendiebstahl
Veröffentlicht am: 21.08.2026 um 22:41 Uhr | Redaktion boerse-global.de
Sicherheitsforscher des Unternehmens Expel haben eine neue Malware-Kampagne aufgedeckt, bei der Angreifer über Microsoft Teams gefälschte IT-Helpdesk-Nachrichten verschicken, um Zugangsdaten von Unternehmen zu stehlen. Die dabei eingesetzte Schadsoftware trägt den Namen SynkLoader und wird über eine gefälschte MSI-Datei mit dem Namen „PowerShell Cleaner“ verbreitet, die auf Azure gehostet wird.
Phishing über den Teams-Kanal
Die Angreifer geben sich in der Kampagne als interner IT-Support aus und nutzen die Vertrauensstellung, die Mitarbeitende gegenüber offiziell wirkenden Teams-Nachrichten haben. Über diesen Weg wird das getarnte Installationspaket verbreitet, das beim Ausführen die eigentliche Schadsoftware auf dem System platziert.
Gefälschter Sperrbildschirm stiehlt Zugangsdaten
Ein zentraler Bestandteil von SynkLoader ist ein Modul namens „PhishLocker“, das einen gefälschten Windows-Sperrbildschirm anzeigt. Opfer, die glauben, ihren Rechner entsperren zu müssen, geben dabei unwissentlich ihre Unternehmensanmeldedaten preis.
Laut den Analysten von Expel lässt sich der gefälschte Bildschirm allerdings über die Tastenkombination Alt+Tab entlarven, da er sich wie ein reguläres Fenster verhält und nicht wie ein echter Systemsperrbildschirm.
Modularer Aufbau mit mehreren Funktionen
Hacker nutzen immer raffiniertere Methoden und psychologische Tricks, um über vertrauenswürdige Kanäle wie Chat-Systeme in Firmennetzwerke einzudringen. Dieser kostenlose Report enthüllt die aktuellen Strategien der Cyberkriminellen und zeigt, wie man solche Angriffe rechtzeitig entlarvt. Die 7 psychologischen Schwachstellen Ihrer Mitarbeiter jetzt entdecken
SynkLoader ist modular konzipiert und kombiniert nach Angaben der Analysten die Programmiersprachen Python, PowerShell, C und C++. Neben dem PhishLocker-Modul zur Datendiebstahl-Tarnung verfügt die Malware über weitere Komponenten: einen System Profiler zur Ausspähung des infizierten Systems, ein Persistence-Modul zur dauerhaften Verankerung, einen TrafficRedirector, ein RAT-Modul (Remote Access Trojan) sowie ein VNC-Modul für den Fernzugriff auf infizierte Rechner.
Die Kommunikation zwischen der Malware und den Command-and-Control-Servern der Angreifer erfolgt über eine modifizierte Variante der Verschlüsselungsmethode ChaCha20, was die Analyse des Datenverkehrs erschwert.
Entdeckung und Herkunft
Auf die Spur der Kampagne kamen die Sicherheitsforscher über einen Alert eines Endpoint-Detection-and-Response-Systems (EDR). Der bei Expel tätige Forscher Marcus Hutchins übernahm die weitergehende Analyse der Malware. Nach Angaben von Expel wurde SynkLoader erstmals um den 28. Juli 2026 kompiliert, was auf eine noch recht junge Kampagne hindeutet.
Angesichts der zunehmenden Professionalität von Cyberangriffen müssen Unternehmen ihre proaktiven Schutzmaßnahmen regelmäßig überprüfen und anpassen. Das kostenlose Anti-Phishing-Paket bietet eine praxisnahe Anleitung in vier Schritten, um die IT-Sicherheit dauerhaft zu stärken. Kostenloses Paket zur Hacker-Abwehr herunterladen
Der Fall zeigt, wie Angreifer zunehmend Kollaborationsplattformen wie Microsoft Teams als Einfallstor nutzen, da diese in Unternehmen als vertrauenswürdiger Kommunikationskanal gelten und Mitarbeitende dort seltener Phishing-Versuche vermuten als etwa in E-Mails.
Sicherheitsverantwortliche in Unternehmen sind daher gut beraten, Mitarbeitende gezielt für gefälschte Helpdesk-Anfragen über interne Chat-Systeme zu sensibilisieren und verdächtige Installationspakete konsequent zu blockieren.
