SynkLoader vole vos mots de passe via Microsoft Teams

Quand le support IT devient une arme : la chaîne d'infection SynkLoader

Le 18 août 2026, les analystes d'Expel détectent un comportement anormal dans l'environnement d'un de leurs clients : un EDR signale la création d'une tâche planifiée au nom généré aléatoirement, lancée par un processus Python inhabituel. L'investigation révèle un malware jusque-là inconnu, baptisé SynkLoader — un nom évoquant le proverbe anglais everything but the kitchen sink, tant le code combine de langages et de techniques hétéroclites. L'analyse rétrospective des métadonnées indique que le malware a été compilé pour la première fois aux alentours du 28 juillet 2026, soit trois semaines avant sa découverte, suggérant une phase de tests et de déploiements discrets préalables.

L'intrusion débute par un message Microsoft Teams parfaitement ordinaire. Un attaquant se fait passer pour un technicien du service d'assistance informatique de l'entreprise cible, exploitant une tactique que Microsoft avait documentée en début d'année comme l'une des plus répandues dans les attaques multi-phases ciblant les entreprises. Après quelques échanges construits pour mettre la victime en confiance, l'agresseur lui demande d'installer un outil baptisé « PowerShell Cleaner » — un fichier MSI hébergé sur Azure Blob Storage. Le choix de cette infrastructure est stratégique : le domaine *.blob.core.windows.net est rarement filtré par les outils de sécurité et bénéficie d'une réputation élevée auprès des proxies et pare-feu. La victime, persuadée d'interagir avec son vrai support IT, exécute le fichier sans méfiance particulière.

L'installateur MSI extrait alors un script PowerShell (cleaner.ps1) ainsi qu'une archive ZIP contenant l'environnement Python complet, plusieurs scripts malveillants, des bibliothèques précompilées et de fausses DLL Microsoft Runtime soigneusement nommées pour ressembler à des composants Windows légitimes. Ce qui distingue SynkLoader de la plupart des malwares actuels, c'est sa conception résolument polyglotte : le code alterne entre Python, PowerShell, C# et C++, parfois en mélangeant trois langages au sein d'un seul module. Cette approche complique considérablement l'analyse statique et la détection basée sur les signatures, chaque couche devant être décompilée ou interprétée séparément par les outils d'investigation.

Le composant le plus alarmant s'appelle PhishLocker. Ce module, développé en C#, commence par récupérer le nom d'utilisateur courant et l'arrière-plan d'écran de verrouillage configuré sur la machine infectée. Il ouvre ensuite une fenêtre plein écran reproduisant fidèlement l'écran de verrouillage de Windows 11, jusqu'aux moindres détails visuels : police d'écriture, disposition des éléments, animation de flou. Contrairement à l'authentification Windows réelle, PhishLocker n'effectue aucune vérification du mot de passe saisi — il accepte n'importe quelle entrée et transmet immédiatement les données à l'opérateur. Plus insidieux encore, la combinaison Ctrl+Alt+Suppr est interceptée, et toute tentative Alt+Tab est contrecarrée par un mécanisme de refocus continu qui remet instantanément la fenêtre frauduleuse au premier plan. L'attaquant reçoit ainsi le mot de passe en clair plutôt qu'une empreinte (hash), ce qui simplifie considérablement les mouvements latéraux ultérieurs.

Le module de persistance crée une tâche planifiée au nom généré aléatoirement, configurée pour s'exécuter au démarrage de la session utilisateur et quotidiennement à 10h00. Ce créneau horaire, calqué sur les habitudes professionnelles, maximise les chances que la tâche s'exécute dans un contexte de session active. Le module TrafficRedirector transforme parallèlement le poste compromis en un proxy inverse, permettant à l'opérateur d'établir des sessions PowerShell interactives et des connexions VNC pour un contrôle à distance complet. Un sniffer de credentials complète l'arsenal en interceptant les en-têtes HTTP Basic Authorization et les cookies de session transmis en clair depuis d'autres applications de l'entreprise.

La campagne SynkLoader s'inscrit dans une tendance plus large observée depuis début 2026 : l'utilisation croissante de Microsoft Teams comme vecteur d'attaque initial. Dans les environnements où Teams a remplacé l'email comme principal canal de communication, les attaquants exploitent la confiance implicite accordée aux messages provenant de canaux apparemment internes. Microsoft avait signalé dès janvier 2026 une multiplication des campagnes de vishing IT sur Teams, notamment dans les secteurs financier, juridique et industriel. SynkLoader représente une évolution technique significative de ces campagnes, combinant ingénierie sociale sophistiquée et malware multistade personnalisé.

Expel a transmis ses indicateurs de compromission (IoC) à Microsoft pour suppression du MSI hébergé sur Azure et a publié une analyse technique complète. Selon les chercheurs, plusieurs entreprises ont probablement été touchées durant la période de déploiement discret (28 juillet–18 août 2026), avant que la découverte ne permette une réponse coordonnée. Les secteurs industriel, juridique et de la santé sont considérés comme prioritairement ciblés. Aucun groupe d'attaquants spécifique n'a été formellement attribué à SynkLoader à ce stade, mais la sophistication du code et le recours à des infrastructures cloud légitimes suggèrent des acteurs expérimentés disposant de ressources significatives.

La technique d'ingénierie sociale employée — usurper l'identité du support informatique — est éprouvée depuis les débuts de la téléphonie, mais son efficacité sur Teams tient à plusieurs facteurs psychologiques : l'urgence créée par le discours de l'attaquant, l'autorité apparente de l'interlocuteur se présentant comme technicien IT, et le fait que l'interface Teams ne distingue pas visuellement un contact externe d'un collègue interne sans que l'utilisateur examine attentivement les détails du profil. Dans des environnements d'entreprise où les équipes IT communiquent régulièrement via Teams pour des interventions de maintenance, ce type de sollicitation ne semble pas inhabituel à première vue.

Microsoft Teams : pourquoi le vecteur d'attaque progresse rapidement

La montée en puissance de Teams comme vecteur d'attaque initial n'est pas accidentelle. Depuis que de nombreuses organisations ont renforcé leur filtrage d'emails suite aux campagnes de phishing massives de 2024 et 2025, les attaquants ont pivoté vers des canaux moins surveillés. Teams offre plusieurs avantages tactiques décisifs : les messages arrivent dans un environnement de confiance perçu comme interne, les notifications ressemblent visuellement à des communications d'équipe légitimes, et de nombreuses entreprises autorisent par défaut les contacts Teams externes sans vérification systématique de leur identité réelle.

Microsoft a introduit fin 2025 une option permettant aux administrateurs de restreindre les communications Teams aux utilisateurs internes ou à des domaines partenaires explicitement approuvés. Pourtant, une proportion significative d'organisations maintient une politique ouverte, soit par méconnaissance, soit pour faciliter les communications avec prestataires et clients. Cette configuration permissive est précisément ce que les opérateurs de SynkLoader exploitent : en créant des comptes Microsoft sur des domaines génériques ou en compromettant préalablement des comptes légitimes, ils peuvent contacter des cibles sans éveiller immédiatement les soupçons. L'interface Teams ne distingue pas visuellement un contact externe d'un collègue interne sans que l'utilisateur examine attentivement les détails du profil de son interlocuteur.

Du point de vue défensif, SynkLoader illustre la limite des approches de sécurité uniquement basées sur la détection de signatures. Le malware n'exploite aucune vulnérabilité zero-day pour l'accès initial, utilise des composants légitimes (Python, PowerShell, infrastructure Azure Microsoft) et s'appuie fondamentalement sur l'ingénierie sociale plutôt que sur des exploits techniques. La défense efficace requiert donc une combinaison de contrôles techniques et de sensibilisation humaine. Le signal révélateur, selon Expel, est simple : aucun support IT légitime ne demande à un utilisateur d'installer un logiciel via Teams sans validation préalable par un canal distinct, comme un ticket de helpdesk ou un email de confirmation.

Sur le plan réglementaire, les incidents de ce type entrent pleinement dans le périmètre des obligations de notification prévues par NIS2 en Europe : si un compte compromis permet d'accéder à des systèmes d'information essentiels, l'organisation affectée dispose de 24 heures pour notifier les autorités compétentes d'une alerte précoce. La capture du mot de passe en clair amplifie significativement le risque de propagation latérale, ce qui peut rapidement transformer un incident limité en violation de données à grande échelle notifiable.

Ce qu'il faut retenir

• SynkLoader se propage via Teams en imitant le support IT et déploie une fausse interface Windows 11 pour voler les mots de passe en clair, sans hash intermédiaire.
• Le malware combine Python, PowerShell, C# et C++ pour échapper aux détections par signatures et assure sa persistance via des tâches planifiées à noms aléatoires.
• Action immédiate : restreindre les contacts Teams externes aux domaines approuvés dans le Centre d'administration Microsoft 365, activer les alertes EDR sur la création de tâches planifiées, et former les équipes à ne jamais exécuter un logiciel demandé via Teams sans validation hors-canal.