Come rimuovere il loader SynkLoader dal sistema operativo

Che tipo di malware è SynkLoader Malware?

SynkLoader è un loader di malware che utilizza un design modulare per distribuire una catena di strumenti di attacco contro i sistemi Windows infetti. Secondo la ricerca pubblicata da Expel, la minaccia è stata osservata per la prima volta nell'agosto 2026 durante l'analisi di un incidente su una rete di un cliente.

L'infezione inizia con un attacco di phishing effettuato tramite Microsoft Teams, dove l'aggressore si spaccia per un dipendente dell'helpdesk IT e convince la vittima a installare un file MSI dannoso mascherato da utility «PowerShell Cleaner».

Panoramica del malware SynkLoader

SynkLoader include il proprio ambiente Python e opera quasi interamente in memoria dopo la fase iniziale del programma di installazione. Il suo componente principale è un loader basato su Python che contatta uno di diversi server di comando e controllo (C2) hardcoded a intervalli casuali, quindi decrittografa ed esegue qualsiasi codice restituito dal server.

Le comunicazioni con il C2 sono protette da un cifrario ChaCha20 modificato in cui le costanti di crittografia standard sono state sostituite con valori diversi per complicare il rilevamento. Ogni modulo viene ricevuto come codice Python ed eseguito in memoria, lasciando tracce minime sul disco.

Al primo contatto, il loader raccoglie informazioni sulla macchina infetta, tra cui il nome host, il nome dell'utente connesso, il livello di privilegi, i processi in esecuzione, i servizi installati e i dettagli di Active Directory. Questo profilo viene inviato al C2 e utilizzato dagli operatori per decidere se il bersaglio merita ulteriore attenzione.

I moduli di SynkLoader

La catena di attacco di SynkLoader abbraccia più linguaggi di programmazione. Il loader Python principale utilizza CPython per caricare file DLL dannosi camuffati da librerie di runtime Microsoft Visual C++. Queste DLL contengono componenti C# e C++ nascosti che svolgono le funzionalità più avanzate del loader.

Una DLL di runtime falsa contiene un componente C# che esegue comandi PowerShell interamente in memoria. Un'altra funge da loader di DLL in memoria, in modo che ogni payload successivo eviti di essere scritto su disco, aggirando così gli strumenti di sicurezza basati sulle firme.

Un modulo reverse shell consente agli aggressori di inviare comandi PowerShell arbitrari alla macchina infetta in tempo reale e di ricevere i risultati. Un componente VNC trasmette inoltre screenshot dal desktop della vittima e inoltra input di mouse e tastiera, offrendo agli operatori una visione in tempo reale dell'attività dell'utente.

Falsa schermata di accesso e tunneling di rete

Uno dei moduli di SynkLoader crea una falsa schermata di blocco di Windows a schermo intero, con l'intento di indurre l'utente a inserire la password di sistema. L'applicazione recupera dal sistema il nome utente reale e lo sfondo della schermata di blocco della vittima per rendere l'imitazione convincente.

Poiché la falsa schermata è una normale applicazione senza bordi anziché un vero blocco di sistema, premendo Alt+Tab si rivelano i programmi in esecuzione al di sotto di essa. Il modulo si riporta automaticamente in primo piano per impedire all'utente di passare ad altro. Non avviene alcuna verifica della password, quindi qualsiasi input viene accettato e le credenziali acquisite vengono inoltrate all'aggressore.

SynkLoader distribuisce anche un modulo di tunneling di rete chiamato TrafficRedirector, che funziona come proxy backconnect. Si connette in uscita al server dell'aggressore e consente agli operatori di instradare il traffico attraverso la macchina infetta, aggirando i firewall aziendali e i controlli di accesso basati su IP senza attivare avvisi basati sulla posizione.

Persistenza ed evasione delle difese

Per la persistenza, SynkLoader installa un'attività pianificata utilizzando le interfacce COM di Windows anziché il comando standard di pianificazione delle attività. Questa tecnica elude i rilevamenti comportamentali che cercano processi che richiamano strumenti di pianificazione tramite la riga di comando.

L'attività ha un nome alfanumerico di 12 caratteri generato casualmente e si attiva su due trigger: una volta a ogni accesso dell'utente e una volta al giorno alle 10 del mattino, ora locale. Riavvia il loader Python principale tramite il runtime Python incluso che il malware distribuisce insieme agli altri componenti.

La catena di esecuzione multilinguaggio, che abbraccia Python, C# e DLL C++, combinata con un'operatività quasi interamente in memoria, rende significativamente più difficile per gli strumenti di sicurezza tracciare o bloccare l'intera catena di infezione.

Conclusione

SynkLoader è una minaccia sofisticata e multilivello in grado di rubare le credenziali di accesso al sistema, eseguire comandi remoti, incanalare il traffico di rete attraverso la macchina infetta e monitorare il desktop della vittima in tempo reale. La sua catena di esecuzione quasi interamente in memoria e l'architettura multilinguaggio rendono il rilevamento e la rimozione davvero difficili.

L'analisi di Expel suggerisce che il toolkit potrebbe appartenere a un gruppo ransomware o a un broker di accesso iniziale che vende accessi di rete a tali gruppi. Qualsiasi sistema sospettato di essere infetto dovrebbe essere sottoposto a scansione e ripulito immediatamente.

Altri esempi di loader sono GachiLoader, CastleLoader e Olymp.

Come si è infiltrato il malware SynkLoader nel mio computer?

L'indagine di Expel ha ricondotto la distribuzione di SynkLoader a una campagna di phishing su Microsoft Teams. L'aggressore ha contattato il bersaglio impersonando un membro dell'helpdesk IT dell'azienda, utilizzando un account Microsoft 365 con un nome visualizzato plausibile. Alla vittima è stato chiesto di scaricare un programma di installazione MSI da un link di archiviazione file di Microsoft Azure, conferendo alla richiesta un falso senso di legittimità.

Il programma di installazione si presentava come uno strumento legittimo chiamato «PowerShell Cleaner». Una volta eseguito, estraeva un loader di malware basato su Python e lo avviava automaticamente. Da quel momento, l'infezione operava quasi interamente in memoria, rendendola difficile da individuare senza software di sicurezza dedicato.

Più in generale, i loader e le minacce simili vengono distribuiti tramite email di phishing con allegati dannosi, siti di download di software falsi, contenuti piratati e crack di software. Qualsiasi richiesta non sollecitata di installare software, specialmente se proveniente tramite una piattaforma di chat o messaggistica, dovrebbe essere trattata con sospetto.

Come evitare l'installazione di malware?

Prestare attenzione a qualsiasi contatto non sollecitato tramite email, piattaforme di messaggistica o social media, anche quando il mittente afferma di appartenere al reparto IT della propria azienda. Scaricare e installare software solo dai siti web ufficiali dei fornitori e non eseguire mai un programma di installazione ricevuto tramite un'applicazione di chat senza una verifica indipendente.

Mantenere aggiornati il sistema operativo e tutte le applicazioni e utilizzare un programma di sicurezza affidabile che funzioni in background. Evitare software piratati, generatori di chiavi e siti di download non ufficiali. Se ritiene che il suo computer sia già infetto, consigliamo di eseguire una scansione con Combo Cleaner Antivirus per Windows per eliminare automaticamente il malware infiltrato.

La falsa schermata di blocco di Windows di SynkLoader con il commutatore di applicazioni Alt+Tab visibile (fonte: expel.com):

Rimozione automatica istantanea dei malware:

La rimozione manuale delle minacce potrebbe essere un processo lungo e complicato che richiede competenze informatiche avanzate. Combo Cleaner è uno strumento professionale per la rimozione automatica del malware consigliato per eliminare il malware. Scaricalo cliccando il pulsante qui sotto:

Scaricando qualsiasi software elencato in questo sito, accetti le nostre Condizioni di Privacy e le Condizioni di utilizzo. Per utilizzare tutte le funzionalità, è necessario acquistare una licenza per Combo Cleaner. Hai a disposizione 7 giorni di prova gratuita. Combo Cleaner è di proprietà ed è gestito da RCS LT, società madre di PCRisk.

Menu rapido:

• Cos'è il malware SynkLoader?
• PASSO 1. Rimozione manuale del malware SynkLoader.
• PASSO 2. Verificare se il computer è pulito.

Come rimuovere manualmente il malware?

La rimozione manuale del malware è un compito complicato - di solito è meglio lasciare che siano i programmi antivirus o anti-malware a farlo automaticamente. Per rimuovere questo malware consigliamo di utilizzare Combo Cleaner Antivirus per Windows.

Se desidera rimuovere il malware manualmente, il primo passo è identificare il nome del malware che sta cercando di rimuovere. Ecco un esempio di un programma sospetto in esecuzione sul computer di un utente:

Se ha controllato l'elenco dei programmi in esecuzione sul suo computer, ad esempio utilizzando il task manager, e ha identificato un programma che sembra sospetto, dovrebbe procedere con questi passaggi:

Scaricare un programma chiamato Autoruns. Questo programma mostra le applicazioni ad avvio automatico, il Registro di sistema e le posizioni del file system:

Riavviare il computer in Modalità provvisoria:

Utenti Windows XP e Windows 7: Avviare il computer in Modalità provvisoria. Fare clic su Start, fare clic su Arresta il sistema, fare clic su Riavvia, fare clic su OK. Durante il processo di avvio del computer, premere il tasto F8 sulla tastiera più volte fino a visualizzare il menu Opzioni avanzate di Windows, quindi selezionare Modalità provvisoria con rete dall'elenco.

Video che mostra come avviare Windows 7 in «Modalità provvisoria con rete»:

Utenti Windows 8: Avviare Windows 8 in Modalità provvisoria con rete - Andare alla schermata Start di Windows 8, digitare Avanzate, nei risultati della ricerca selezionare Impostazioni. Fare clic su Opzioni di avvio avanzate, nella finestra «Impostazioni generali del PC» aperta, selezionare Avvio avanzato.

Fare clic sul pulsante «Riavvia ora». Il computer si riavvierà nel «menu Opzioni di avvio avanzate». Fare clic sul pulsante «Risoluzione dei problemi», quindi fare clic sul pulsante «Opzioni avanzate». Nella schermata delle opzioni avanzate, fare clic su «Impostazioni di avvio».

Fare clic sul pulsante «Riavvia». Il PC si riavvierà nella schermata Impostazioni di avvio. Premere F5 per avviare in Modalità provvisoria con rete.

Video che mostra come avviare Windows 8 in «Modalità provvisoria con rete»:

Utenti Windows 10: Fare clic sul logo di Windows e selezionare l'icona di accensione. Nel menu aperto fare clic su «Riavvia» tenendo premuto il tasto «Shift» sulla tastiera. Nella finestra «scegli un'opzione» fare clic su «Risoluzione dei problemi», quindi selezionare «Opzioni avanzate».

Nel menu delle opzioni avanzate selezionare «Impostazioni di avvio» e fare clic sul pulsante «Riavvia». Nella finestra successiva è necessario fare clic sul pulsante «F5» sulla tastiera. Questo riavvierà il sistema operativo in modalità provvisoria con rete.

Video che mostra come avviare Windows 10 in «Modalità provvisoria con rete»:

Estrarre l'archivio scaricato ed eseguire il file Autoruns.exe.

Nell'applicazione Autoruns, fare clic su «Opzioni» in alto e deselezionare le opzioni «Nascondi posizioni vuote» e «Nascondi voci di Windows». Dopo questa procedura, fare clic sull'icona «Aggiorna».

Controllare l'elenco fornito dall'applicazione Autoruns e individuare il file malware che si desidera eliminare.

Dovrebbe annotare il percorso completo e il nome. Tenga presente che alcuni malware nascondono i nomi dei processi sotto nomi di processi legittimi di Windows. In questa fase, è molto importante evitare di rimuovere file di sistema. Dopo aver individuato il programma sospetto che desidera rimuovere, fare clic con il tasto destro del mouse sul suo nome e scegliere «Elimina».

Dopo aver rimosso il malware tramite l'applicazione Autoruns (questo garantisce che il malware non venga eseguito automaticamente al successivo avvio del sistema), dovrebbe cercare il nome del malware sul suo computer. Assicurarsi di abilitare file e cartelle nascosti prima di procedere. Se trova il nome del file del malware, assicurarsi di rimuoverlo.

Riavviare il computer in modalità normale. Seguendo questi passaggi si dovrebbe rimuovere qualsiasi malware dal computer. Tenga presente che la rimozione manuale delle minacce richiede competenze informatiche avanzate. Se non possiede queste competenze, lasci la rimozione del malware ai programmi antivirus e anti-malware.

Questi passaggi potrebbero non funzionare con le infezioni malware avanzate. Come sempre, è meglio prevenire l'infezione piuttosto che cercare di rimuovere il malware in seguito. Per mantenere il computer al sicuro, installare gli ultimi aggiornamenti del sistema operativo e utilizzare un software antivirus. Per essere certi che il computer sia privo di infezioni malware, consigliamo di eseguire una scansione con Combo Cleaner Antivirus per Windows.

Domande frequenti (FAQ)

Il mio computer è infetto dal malware SynkLoader, devo formattare il mio dispositivo di archiviazione per liberarmene?

La formattazione dell'unità eliminerà SynkLoader, ma cancellerà anche in modo permanente tutti i file archiviati. Provare prima una soluzione di sicurezza affidabile come Combo Cleaner è l'approccio migliore, poiché può rimuovere l'infezione senza distruggere i dati.

Quali sono i problemi più gravi che il malware SynkLoader può causare?

SynkLoader può rubare le credenziali di accesso al sistema, consentire agli aggressori di eseguire comandi da remoto, incanalare il traffico di rete attraverso la macchina infetta e distribuire malware aggiuntivo. Questo può portare al dirottamento di account, all'accesso non autorizzato ai sistemi aziendali, al furto di identità e a ulteriori infezioni.

Qual è lo scopo del malware SynkLoader?

SynkLoader è un loader modulare che profila i sistemi infetti e distribuisce strumenti di attacco successivi. I suoi componenti includono una falsa schermata di blocco che ruba le credenziali, un proxy di tunneling di rete, una reverse shell per l'esecuzione di comandi remoti e un modulo di streaming dello schermo.

Come si è infiltrato il malware SynkLoader nel mio computer?

SynkLoader è stato distribuito tramite phishing su Microsoft Teams, dove gli aggressori si sono spacciati per personale dell'helpdesk IT e hanno convinto le vittime a installare un file MSI dannoso camuffato da applicazione «PowerShell Cleaner».

Più in generale, i loader di questo tipo si diffondono anche tramite email di phishing, siti di download di software falsi e contenuti piratati.

Combo Cleaner mi proteggerà dal malware?

Sì. Combo Cleaner può rilevare e rimuovere la maggior parte dei malware, inclusi i loader modulari e i relativi componenti associati. Si consiglia una scansione completa del sistema per garantire che l'intera catena di infezione venga identificata ed eliminata.