Vol. 2 (abr. 2026) | Pp. 292–294 | ISSN 3086-6103
WordlistLoader e SynkLoader: novas cadeias de ataque distribuem malware via ClickFix e phishing no Microsoft Teams
Pesquisadores de cibersegurança sinalizaram duas novas famílias de malware [1] denominadas WordlistLoader e SynkLoader, usadas para entregar payloads de próximo estágio e, provavelmente, vender acesso a grupos de ransomware.
A primeira, WordlistLoader, foi observada por pesquisadores da Gen Threat Labs distribuindo o Amatera Stealer (também rastreado como ACR Stealer ou AcridRain Stealer) por meio de campanhas ClearFake.
A segunda, SynkLoader, foi identificada em uma campanha de phishing conduzida via Microsoft Teams, na qual atores de ameaça se passam pelo “IT Service Desk” para induzir vítimas a instalar um MSI malicioso.
WordlistLoader e Amatera Stealer
A cadeia observada [2] começa com sites legítimos comprometidos, onde visitantes encontram um prompt de CAPTCHA falso como parte da técnica ClearFake, também conhecida como ClickFix ou FakeCaptcha. A partir daí, o fluxo identificado segue esta lógica:
A vítima acessa um site comprometido e clica na caixa “Não sou um robô”.
Um JavaScript malicioso, injetado como blob Base64 ou hospedado via EtherHiding em contratos inteligentes de blockchain, copia um comando para a área de transferência.
O usuário é instruído a pressionar Win + R, colar o comando na caixa Executar do Windows e pressionar Enter.
O comando usa conhost.exe --headless para iniciar um processo cmd.exe oculto, mapeia um compartilhamento WebDAV remoto com pushd e invoca o loader por meio de rundll32.exe.
O WordlistLoader é baixado e executado, reconstruindo o shellcode a partir de uma lista de palavras em inglês ou de UUIDs armazenados em seu próprio corpo.
O shellcode usa um loader reflexivo para descompactar e carregar o Amatera Stealer em memória, reduzindo a quantidade de artefatos deixados no disco.
O uso de palavras em inglês é particularmente relevante porque evita a necessidade de hospedar um script visível em uma URL convencional ou incluir shellcode binário facilmente identificável. O conteúdo malicioso é armazenado como dados aparentemente estáticos dentro do loader, reduzindo sua exposição a controles baseados em assinatura e permitindo que os operadores troquem rapidamente a infraestrutura utilizada.
O Amatera é um stealer de informações para Windows distribuído nessa cadeia com foco em evasão de detecção. A versão 4.3.3-alpha1 identificada pelos pesquisadores apresenta ofuscação estática atualizada, uso de transição WoW64 e trampolins de syscall indiretos x64 gerados dinamicamente por meio da técnica Heaven’s Gate, buscando evitar hooks de EDR.
O WordlistLoader também emprega um mecanismo de bypass de ETW baseado em hardware breakpoints, além de verificações de instância única, tentativas de restaurar funções de módulos do sistema alteradas, e interferência no registro de eventos do Windows. A campanha também apresenta um bypass de criptografia aplicada ao aplicativo (ABE), aparentemente inspirado no Remus Stealer, voltado a contornar proteções associadas a dados protegidos no endpoint.
SynkLoader
Paralelamente, pesquisadores identificaram o SynkLoader, uma segunda família de malware distribuída em uma campanha de phishing pelo Microsoft Teams. Nesse caso, os operadores se passam pelo “IT Service Desk” para induzir vítimas a instalar um componente malicioso e, potencialmente, roubar credenciais de login do Windows.
O fluxo observado segue esta lógica:
Um ator de ameaça usando um endereço de e-mail @.onmicrosoft.com, domínio padrão associado a ambientes Microsoft 365, entra em contato com o alvo se passando por uma equipe de suporte técnico.
A vítima é convencida a baixar e instalar um pacote MSI hospedado em um endpoint de armazenamento do Microsoft Azure, como fileresource.blob.core.windows[.]net.
O instalador se apresenta como “PowerShell Cleaner” e, quando executado, extrai um arquivo ZIP e um script PowerShell.
O script PowerShell é executado em memória, extrai o conteúdo do ZIP e inicia um loader baseado em Python.
O SynkLoader se conecta a um de três domínios de C2 definidos no código, realiza verificações periódicas e aguarda entre 90 e 120 segundos entre as requisições.
As respostas recebidas do C2 são descriptografadas e executadas, permitindo o carregamento de módulos adicionais.
Pelo menos sete módulos diferentes foram identificados na atividade. Embora o objetivo final dos operadores não tenha sido totalmente confirmado, o conjunto de ferramentas pode estar sendo usado para obtenção e comercialização de acesso inicial ou como preparação para operações de ransomware.
