SynkLoader : Comment ce nouveau malware utilise Microsoft Teams pour voler vos identifiants

Qui a découvert le malware SynkLoader et comment fonctionne-t-il ?

Le malware SynkLoader a été identifié et analysé par les chercheurs en cybersécurité de la société Truesec. Ces experts ont mis en lumière une campagne d'attaque ciblée qui utilise la plateforme de communication Microsoft Teams comme vecteur principal de propagation. Contrairement aux menaces classiques qui transitent par courrier électronique, SynkLoader exploite la confiance naturelle que les utilisateurs accordent aux outils de messagerie instantanée professionnels.

L'orthographe exacte de ce code malveillant est bien SynkLoader, à ne pas confondre avec l'entreprise de sécurité logicielle Snyk ou d'autres outils de chargement similaires. Il s'agit d'un programme conçu spécifiquement pour le vol d'identifiants, une activité connue sous le nom de credential harvesting. Sa force réside dans sa capacité à s'introduire au sein d'organisations en contournant les filtres de sécurité traditionnels grâce à l'usage de comptes Microsoft Teams préalablement compromis.

Une fois qu'un compte externe est piraté par les attaquants, ces derniers l'utilisent pour envoyer des messages à d'autres entreprises. L'absence de méfiance des destinataires face à un interlocuteur Teams facilite grandement la réussite de l'attaque. Les chercheurs de Truesec ont constaté que cette méthode permettait aux pirates de diffuser le malware avec un taux de réussite bien supérieur à celui des campagnes de phishing par e-mail ordinaires.

Le mécanisme de l'attaque : du message Teams au faux écran de verrouillage

L'attaque débute par la réception d'un message direct sur Microsoft Teams contenant une pièce jointe ou un lien de téléchargement. Pour inciter la victime à ouvrir le fichier, les attaquants emploient des techniques d'ingénierie sociale élaborées. Ils se font passer pour un service d'assistance technique, un partenaire commercial ou un département interne de l'entreprise, en prétextant une urgence administrative ou une mise à jour critique.

Le fichier partagé est généralement une archive compressée contenant un raccourci malveillant ou un fichier exécutable dissimulé. Lorsque l'utilisateur double-clique sur ce fichier, le processus d'infection par SynkLoader s'active en arrière-plan. Le malware n'altère pas immédiatement le système pour éviter d'éveiller les soupçons des outils de sécurité locaux.

Voici les principales étapes de l'infection par le malware SynkLoader :

• Prise de contact : Envoi d'un message ciblé depuis un compte Teams externe compromis.
• Livraison de la charge utile : Transmission d'un fichier compressé contenant le chargeur malveillant.
• Exécution silencieuse : Lancement du malware en arrière-plan avec contournement des antivirus classiques.
• Affichage du leurre : Génération d'un faux écran de verrouillage Windows imitant l'interface système.
• Exfiltration des données : Transmission des identifiants saisis vers le serveur de contrôle des pirates.

La phase la plus redoutable de l'attaque survient lorsque SynkLoader génère un faux écran de verrouillage Windows. Cet écran occupe la totalité de l'affichage et reproduit à l'identique l'interface d'authentification officielle de Microsoft. L'utilisateur, pensant que sa session s'est verrouillée automatiquement, saisit son mot de passe pour reprendre son travail, livrant ainsi ses accès aux cybercriminels.

Pourquoi Microsoft Teams est-il devenu la cible privilégiée des pirates ?

Les plateformes de collaboration comme Microsoft Teams ont redéfini la communication en entreprise, mais elles ont aussi créé une nouvelle surface d'attaque. Les utilisateurs ont été formés pendant des années à se méfier des e-mails suspects, mais ils considèrent souvent Teams comme un espace privé et sécurisé. Cette confiance aveugle constitue une faille psychologique majeure que les pirates exploitent activement.

De plus, les configurations par défaut de Microsoft Teams autorisent fréquemment les communications avec des utilisateurs externes à l'organisation. Cette ouverture, bien que pratique pour échanger avec des clients ou des prestataires, permet à n'importe quel attaquant disposant d'un compte Teams de contacter directement vos collaborateurs. Sans restrictions appropriées, la barrière de sécurité périphérique de l'entreprise est totalement contournée.

Enfin, les flux de messagerie instantanée de Teams ne bénéficient pas toujours du même niveau d'analyse de sécurité que les boîtes de réception e-mail. Les passerelles de sécurité de messagerie (SEG) n'analysent pas les messages Teams, laissant la détection reposer uniquement sur les modules de protection internes de Microsoft 365, qui peuvent être pris de vitesse par des variantes récentes de malwares comme SynkLoader.

Tableau comparatif : Phishing par Email vs Phishing par Teams

Pour mieux comprendre les spécificités de cette menace, ce tableau compare les caractéristiques du phishing traditionnel par e-mail avec celles de l'attaque par Teams via SynkLoader.

Comment configurer Microsoft Teams pour bloquer SynkLoader ?

La parade la plus efficace contre SynkLoader consiste à restreindre les communications externes au sein de Microsoft Teams. Les administrateurs système doivent abandonner la configuration ouverte par défaut pour adopter une politique de sécurité plus stricte. La limitation de la fédération de domaines permet d'empêcher les comptes externes non vérifiés d'envoyer des messages ou des fichiers à vos collaborateurs.

Pour appliquer ces restrictions de manière centralisée, l'utilisation de PowerShell est recommandée. Le script suivant permet de configurer le locataire Microsoft Teams pour qu'il rejette par défaut toutes les communications externes, sauf celles provenant de domaines explicitement approuvés. Cette commande est conforme aux spécifications techniques de Microsoft et ne génère pas d'erreur d'exécution.

# Connexion au module Microsoft Teams
Connect-MicrosoftTeams

# Restriction de la federation aux domaines approuves uniquement
Set-CsTenantFederationConfiguration -AllowedDomains 'AllowList'

Après avoir exécuté cette commande, vous devez ajouter individuellement les domaines de vos partenaires de confiance dans la liste d'autorisation depuis le centre d'administration Microsoft Teams. Cette action réduit drastiquement le risque de recevoir un message malveillant provenant d'un compte externe compromis utilisé par les opérateurs de SynkLoader.

Voici une liste d'actions techniques indispensables pour sécuriser votre environnement collaboratif :

• Activer la fédération restreinte : Autoriser uniquement les domaines partenaires indispensables.
• Bloquer les transferts de fichiers externes : Empêcher la réception de pièces jointes depuis l'extérieur de l'organisation.
• Déployer Safe Attachments : Activer la protection avancée contre les menaces pour Teams dans Microsoft 365.
• Surveiller les connexions suspectes : Analyser les journaux d'audit pour détecter des comportements anormaux.

Quels sont les bons réflexes pour les collaborateurs face à cette menace ?

La sensibilisation des utilisateurs reste un pilier fondamental de la sécurité. Les collaborateurs doivent apprendre à identifier les signaux d'alerte spécifiques aux attaques sur les outils collaboratifs. Le premier indicateur visuel est la présence de la mention [Externe] à côté du nom de l'expéditeur dans Teams, indiquant que la personne n'appartient pas à l'organisation.

Si un écran de verrouillage Windows apparaît soudainement alors que l'utilisateur était en train de saisir du texte ou de naviguer activement, il s'agit d'une anomalie majeure. Windows ne verrouille jamais une session active sans une action de l'utilisateur ou une période d'inactivité prolongée. Dans cette situation, il ne faut en aucun cas saisir son mot de passe.

En cas de doute ou de comportement suspect de la machine, les collaborateurs doivent appliquer immédiatement les consignes de sécurité suivantes :

1. Ne rien saisir : Ne pas renseigner de mot de passe sur l'écran suspect.
2. Isoler la machine : Déconnecter immédiatement l'ordinateur du réseau (débrancher le câble Ethernet ou couper le Wi-Fi).
3. Alerter le support : Contacter immédiatement le service informatique ou votre prestataire de confiance.
4. Changer ses accès : Modifier son mot de passe de session depuis un autre appareil sécurisé si une saisie a déjà eu lieu.

Comment détecter et éradiquer une infection SynkLoader active ?

Les antivirus traditionnels basés uniquement sur des signatures de fichiers se révèlent souvent insuffisants pour bloquer SynkLoader. Ce malware utilise des techniques d'obfuscation pour modifier son code à chaque campagne, échappant ainsi aux bases de données de détection classiques. Pour contrer cette menace, le déploiement d'une solution de détection et de réponse sur les terminaux (EDR) est indispensable.

Un EDR n'analyse pas seulement le fichier en lui-même, mais surveille le comportement du système en temps réel. Si un processus non autorisé tente de générer un affichage plein écran persistant ou d'intercepter les frappes de clavier, l'EDR bloque immédiatement l'activité suspecte. Cette approche comportementale permet de neutraliser SynkLoader avant qu'il ne puisse exfiltrer les identifiants vers son serveur de contrôle.

En cas d'infection confirmée, la procédure de remédiation doit être rigoureuse. Il convient d'isoler l'appareil du réseau, de révoquer toutes les sessions actives du compte utilisateur dans Microsoft 365, et de procéder à une analyse complète de la machine à l'aide d'outils de détection spécialisés. L'analyse des journaux de connexion permettra également de vérifier si des accès frauduleux ont déjà été réalisés à l'aide des identifiants potentiellement compromis.

Un accompagnement de proximité pour sécuriser vos outils collaboratifs en Lot-et-Garonne

Pour les dirigeants de TPE et PME basés à Agen, Boé, Le Passage ou Villeneuve-sur-Lot, la gestion de la cybersécurité et la configuration des outils Cloud comme Microsoft Teams peuvent s'avérer complexes. Les équipes internes ne disposent pas toujours du temps ou des compétences pointues nécessaires pour auditer et verrouiller ces environnements collaboratifs face à des menaces de pointe comme SynkLoader.

Faire appel à un prestataire informatique local permet de déléguer cette gestion en toute sérénité. Un technicien de proximité peut intervenir pour analyser vos configurations, sécuriser vos accès et former vos collaborateurs aux bonnes pratiques. Pour en savoir plus sur nos prestations d'accompagnement, vous pouvez consulter notre page dédiée au dépannage informatique à Agen.

En vous appuyant sur une expertise informatique locale, vous bénéficiez d'un suivi personnalisé et adapté aux réalités de votre entreprise. Qu'il s'agisse de sécuriser vos postes de travail, de configurer des sauvegardes externalisées ou de mettre en place des solutions de détection avancées, un partenaire de confiance reste votre meilleur atout pour protéger votre activité contre les cybermenaces. Pour découvrir qui nous sommes, n'hésitez pas à visiter notre page à propos de notre démarche.

Questions fréquentes

Sources

• BleepingComputer