O phishing saiu do e-mail e entrou no Teams. SynkLoader: quando uma simples mensagem no Microsoft Teams vira a porta de entrada para um ataque
Durante anos, empresas investiram tempo e dinheiro ensinando funcionários a desconfiar de e-mails estranhos. Remetente desconhecido? Cuidado. Link inesperado? Não clique. Anexo suspeito? Melhor confirmar antes de abrir.
Os criminosos aprenderam essa lição também.
Se o e-mail passou a despertar desconfiança, por que não procurar a vítima justamente em um lugar onde ela se sente mais segura?
É exatamente aí que entra uma nova campanha descoberta pela Expel, na qual criminosos estão usando o Microsoft Teams para se passar pelo suporte de TI e convencer funcionários a instalar uma ferramenta aparentemente legítima. O que começa como uma conversa rotineira de trabalho pode terminar com roubo da senha do Windows, persistência no computador, execução remota de comandos e uma ponte para outros recursos da rede corporativa.
No centro da operação está um novo malware chamado SynkLoader.
E talvez a parte mais importante dessa história seja justamente esta: o ataque não começa explorando uma vulnerabilidade crítica. Começa explorando confiança.
“Olá, somos do suporte de TI”
Imagine a situação.
Durante o expediente, um funcionário recebe uma mensagem pelo Microsoft Teams. Do outro lado está alguém identificado como “IT Service Desk”. A conversa parece profissional, acontece dentro da ferramenta utilizada diariamente pela empresa e envolve um assunto que, aparentemente, faz parte da rotina de suporte.
Nada parece especialmente alarmante.
Segundo a investigação publicada pela Expel, os atacantes utilizaram uma conta associada a um domínio padrão onmicrosoft.com e convenceram a vítima a baixar um instalador MSI apresentado como uma ferramenta chamada “PowerShell Cleaner”.
O arquivo estava hospedado no Microsoft Azure Blob Storage.
Esse detalhe torna o ataque particularmente interessante. Em vez de direcionar a vítima para um domínio evidentemente estranho, os criminosos utilizaram infraestrutura legítima de nuvem da Microsoft.
Para o usuário, a sequência poderia parecer perfeitamente coerente:
Microsoft Teams → suporte de TI → Microsoft Azure → ferramenta PowerShell.
Tudo parece pertencer ao mesmo universo corporativo.
Só que não pertence.
A ferramenta instala o SynkLoader e, a partir desse momento, aquilo que parecia ser uma simples interação com o Help Desk transforma-se em comprometimento do endpoint.
O problema não é apenas o malware. É a confiança no canal
Esse caso expõe uma mudança importante na engenharia social.
Quando alguém recebe um e-mail inesperado dizendo “sou do suporte, instale este programa”, anos de campanhas de conscientização podem fazer o usuário hesitar.
Mas o mesmo pedido chegando pelo Teams pode provocar uma reação completamente diferente.
Afinal, o Teams é onde estão os colegas. É onde acontecem reuniões. É onde gestores enviam mensagens, documentos circulam e o suporte técnico pode realmente entrar em contato.
A plataforma carrega, portanto, uma espécie de confiança emprestada.
O criminoso não precisa necessariamente convencer a vítima de que o Microsoft Teams é seguro. Essa confiança já existe. Ele precisa apenas fazer com que parte dela seja transferida para a identidade falsa que aparece na tela.
É justamente por isso que esse tipo de phishing merece atenção.
Estar dentro de uma ferramenta corporativa não significa pertencer à organização.
SynkLoader: um malware construído com várias peças
O nome SynkLoader foi escolhido pela Expel como uma referência à expressão inglesa everything but the kitchen sink — algo próximo de “colocaram praticamente tudo ali”.
A brincadeira faz sentido quando se observa sua arquitetura.
Os pesquisadores encontraram uma combinação de Python, PowerShell, C# e C++, além de diferentes módulos responsáveis por reconhecimento, persistência, roubo de credenciais, comunicação com infraestrutura de Command and Control (C2) e acesso remoto.
O instalador inicial leva inclusive seu próprio ambiente Python.
Isso significa que o atacante não precisa encontrar Python instalado na máquina da vítima. O ambiente necessário para executar os componentes já chega junto com o malware.
Parte dessa arquitetura também procura executar componentes diretamente em memória, reduzindo a quantidade de artefatos gravados em disco e dificultando controles excessivamente dependentes de arquivos e assinaturas conhecidas.
Depois de estabelecido, o SynkLoader passa a conversar com sua infraestrutura de C2 e pode receber componentes adicionais conforme o interesse dos operadores naquele computador.
É aí que o ataque começa a ficar ainda mais interessante.
Antes de avançar, o atacante quer saber onde chegou
Nem todo computador comprometido possui o mesmo valor.
A estação de trabalho de um usuário com poucos privilégios e praticamente nenhum acesso a recursos corporativos pode ter importância limitada. Já o computador de alguém conectado a um grande domínio Active Directory, com acesso a aplicações internas e recursos sensíveis, representa outra história.
Por isso, um dos primeiros componentes observados pela Expel funciona como um System Profiler.
O módulo procura entender o ambiente: identifica hostname, usuário conectado, privilégios, processos, serviços, domínio do Active Directory e outras características do sistema comprometido.
Em outras palavras, antes de investir mais recursos naquele ataque, os operadores querem responder a uma pergunta simples:
“Onde conseguimos entrar?”
A própria Expel aproveitou esse comportamento durante a investigação.
Os pesquisadores manipularam as informações enviadas pelo malware para fazer sua máquina de análise parecer parte de um grande ambiente corporativo baseado em Active Directory.
Os criminosos morderam a isca.
Acreditando ter encontrado um alvo interessante, começaram a enviar módulos adicionais. Isso permitiu aos pesquisadores observar uma parcela muito maior das capacidades do SynkLoader.
O malware quer permanecer no computador
Depois de conseguir acesso, o SynkLoader também precisa sobreviver.
Um dos mecanismos encontrados cria uma tarefa agendada para garantir sua execução futura, incluindo gatilhos associados à autenticação do usuário e execução diária.
Mas existe um detalhe relevante.
Em vez de simplesmente chamar ferramentas normalmente utilizadas para criar tarefas agendadas — comportamento que muitas soluções de segurança já procuram identificar — o malware interage com o Task Scheduler por meio de interfaces COM do Windows.
Para equipes de Blue Team e SOC, esse detalhe merece atenção porque ilustra uma tendência recorrente: atacantes não precisam necessariamente inventar novas funcionalidades. Muitas vezes basta realizar uma operação conhecida utilizando um caminho menos óbvio e potencialmente menos monitorado.
O objetivo continua sendo persistência.
O caminho utilizado para alcançá-la é que muda.
PhishLocker: uma tela do Windows que não é do Windows
Entre todos os componentes analisados pela Expel, talvez o PhishLocker seja o que melhor representa a criatividade da operação.
O malware já está instalado no computador.
Mesmo assim, os criminosos fazem phishing novamente.
O PhishLocker cria uma interface que imita a tela de bloqueio do Windows 11. Ele utiliza informações do próprio sistema e apresenta ao funcionário algo suficientemente familiar para provocar uma reação quase automática.
A tela parece bloqueada.
O usuário vê seu nome.
Existe um campo solicitando senha.
Então ele digita a credencial.
Só há um problema: não é o Windows pedindo a senha. É o malware.
A credencial digitada é capturada e enviada aos atacantes.
O detalhe mais curioso é que, segundo a análise da Expel, o malware aparentemente nem precisa verificar se a senha está correta. Isso não é necessário para seu objetivo.
Ele não quer autenticar o funcionário.
Quer que o funcionário revele aquilo que acredita ser sua senha.
Mas por que roubar uma senha se a máquina já está comprometida?
À primeira vista, pode parecer redundante.
Se o atacante já consegue executar código no computador, para que precisa da senha?
Porque controlar um endpoint e controlar uma identidade são coisas diferentes.
O malware pode oferecer acesso àquela máquina. Uma credencial válida pode abrir caminho para aplicações corporativas, VPNs, servidores, serviços internos, sistemas integrados ao Single Sign-On (SSO) e outros recursos disponíveis para aquela identidade.
Uma boa analogia seria imaginar que o criminoso conseguiu entrar em uma sala do escritório.
Isso já é grave.
Mas, ao encontrar o crachá do funcionário sobre a mesa, ele pode descobrir que agora consegue abrir outras portas.
É por isso que ataques modernos frequentemente procuram combinar comprometimento de dispositivos com comprometimento de identidade.
O computador da vítima também pode virar uma ponte
Outro componente identificado pelos pesquisadores, chamado TrafficRedirector, acrescenta uma capacidade especialmente preocupante.
Ele permite utilizar o computador comprometido como intermediário para conexões de rede.
Na prática, o endpoint pode funcionar como uma ponte entre o atacante e recursos que normalmente só poderiam ser acessados de dentro do ambiente corporativo.
Isso cria um cenário bastante diferente daquele em que uma tentativa de acesso chega diretamente de um endereço IP localizado em outro país ou associado a infraestrutura suspeita.
Agora imagine a combinação:
credencial legítima + endpoint comprometido + endereço IP corporativo + acesso a recursos internos.
Para determinados mecanismos de segurança, parte desse comportamento pode se parecer muito mais com atividade legítima.
E é exatamente aí que controles baseados apenas em senha, localização ou reputação de IP começam a mostrar suas limitações.
E os atacantes ainda podem assumir o controle manual
O SynkLoader não depende apenas de módulos automatizados.
A Expel também identificou um componente de Interactive Shell, permitindo que os operadores executem comandos PowerShell remotamente.
Isso significa que, depois de comprometer a máquina, os criminosos podem passar para uma operação do tipo hands-on-keyboard: alguém do outro lado começa a explorar manualmente o ambiente, executar comandos, investigar recursos disponíveis e decidir os próximos passos.
Outro módulo, denominado StreamMaster, oferece funcionalidades baseadas em VNC, ampliando as possibilidades de interação remota com a sessão comprometida.
Nesse ponto, chamar o SynkLoader simplesmente de “malware para roubar senhas” seria reduzir demais o problema.
O conjunto oferece capacidades para reconhecimento, persistência, captura de credenciais, tunneling, execução remota e controle interativo.
É praticamente uma pequena caixa de ferramentas para transformar o primeiro acesso em algo muito maior.
Existe ransomware por trás do SynkLoader?
Aqui é importante separar evidência de hipótese.
Até o momento, a Expel não atribuiu publicamente o SynkLoader a um grupo específico de ransomware.
Existem características operacionais que podem ser compatíveis com atividades de Initial Access Brokers (IABs) ou atores que posteriormente fornecem acesso a operadores de ransomware, mas isso não significa que essa relação esteja comprovada.
A distinção é importante.
Em Threat Intelligence, comportamento semelhante não é sinônimo de atribuição.
Por outro lado, o contexto mais amplo mostra que criminosos já estão utilizando Microsoft Teams, falsos profissionais de suporte e ferramentas legítimas de acesso remoto em campanhas capazes de evoluir para comprometimentos muito mais graves.
A Zscaler ThreatLabz, por exemplo, documentou campanhas nas quais atacantes se passam por suporte técnico no Teams e utilizam Windows Quick Assist, PowerShell e backdoors para estabelecer acesso ao ambiente.
A eSentire também observou campanhas combinando email bombing com personificação de profissionais de TI. Primeiro, o atacante inunda a caixa de entrada da vítima. Depois, surge no Teams alguém oferecendo ajuda justamente para resolver o problema.
É uma estratégia simples e eficiente.
O criminoso cria o incêndio e depois aparece vestido de bombeiro.
O phishing está saindo da caixa de entrada
Talvez essa seja a principal mensagem que o caso SynkLoader deixa para as empresas.
Phishing não deveria mais ser tratado como sinônimo de e-mail malicioso.
O canal mudou.
Os criminosos estão procurando funcionários no Teams, em ferramentas de colaboração, plataformas de suporte e outros ambientes nos quais uma conversa inesperada parece muito menos suspeita.
Os números apresentados pela Expel ajudam a dimensionar essa transformação. No segundo trimestre de 2026, incidentes relacionados à identidade representaram 68,1% dos casos investigados pelo SOC da empresa. Em junho, ataques direcionados chegaram a 38,4% dos incidentes envolvendo endpoints, com phishing pelo Microsoft Teams apontado como um dos principais fatores desse crescimento.
Não significa que o e-mail deixou de ser importante.
Significa que a superfície de engenharia social ficou maior.
Security Awareness também precisa mudar
Se o treinamento de conscientização continuar limitado a exemplos de e-mails falsos, existe o risco de preparar os funcionários para reconhecer o ataque de ontem.
Uma abordagem mais atual precisa ensinar algo diferente:
confie na identidade validada, não simplesmente no canal utilizado.
Uma mensagem estar dentro do Teams não comprova que seu remetente pertence ao departamento de TI.
Um arquivo estar hospedado no Azure não comprova que seja seguro.
Uma pessoa conhecer termos técnicos da empresa não comprova que trabalhe nela.
E uma tela parecer ser do Windows não significa necessariamente que foi apresentada pelo Windows.
Esse raciocínio precisa chegar aos funcionários de maneira prática, especialmente quando uma solicitação envolve instalação de software, execução de comandos, fornecimento de credenciais ou acesso remoto ao computador.
Para CISOs e SOCs, a resposta precisa ir além do treinamento
Seria confortável concluir que o problema pode ser resolvido simplesmente ensinando os funcionários a “não clicar”.
Não pode.
Quando um ataque combina engenharia social convincente, infraestrutura legítima de nuvem, ferramentas nativas do sistema operacional e comunicação por plataformas corporativas, colocar toda a responsabilidade sobre o usuário é uma estratégia frágil.
As organizações precisam revisar políticas de comunicação externa e cross-tenant no Microsoft Teams, identificação de usuários externos, procedimentos do Help Desk, execução de arquivos MSI, Application Control, PowerShell, criação de tarefas agendadas, ferramentas de acesso remoto e execução inesperada de Python.
Também é necessário correlacionar telemetria.
Um contato externo pelo Teams seguido de download, instalação de MSI, execução de PowerShell, criação de persistência e comunicação anômala de rede possui significado muito maior quando esses eventos são analisados como uma única história, e não como alertas isolados em ferramentas diferentes.
Acima de tudo, solicitações sensíveis feitas pelo suporte deveriam possuir algum mecanismo independente de validação.
Se alguém pedir pelo Teams para instalar um programa, executar um comando ou permitir acesso remoto, o funcionário precisa saber exatamente como confirmar que aquela pessoa realmente pertence ao Help Desk.
Conclusão: quando a confiança vira superfície de ataque
O SynkLoader chama atenção pelas técnicas utilizadas, mas sua principal lição talvez esteja antes da primeira linha de código malicioso ser executada.
O ataque funciona porque começa em um ambiente familiar.
A vítima recebe uma mensagem em uma ferramenta corporativa, conversa com alguém que parece fazer parte do suporte, baixa um arquivo hospedado em infraestrutura conhecida e executa uma ferramenta apresentada como necessária para resolver um problema.
Cada elemento isoladamente parece plausível. É a combinação deles que constrói a fraude.
Depois disso, o malware assume o controle: reconhece o ambiente, estabelece persistência, captura credenciais, recebe novos módulos e pode transformar o próprio computador comprometido em uma ponte para outros recursos da organização.
Por isso, o SynkLoader representa mais do que uma nova família de malware.
Ele mostra que a fronteira do phishing está se deslocando para dentro das ferramentas nas quais as empresas aprenderam a trabalhar e confiar.
Durante anos, a recomendação foi simples: desconfie daquele e-mail estranho.
Agora é preciso acrescentar outra: uma mensagem pode estar dentro do Microsoft Teams e ainda assim ser o início de um ataque.
Referências principais
Expel — pesquisa técnica original
SynkLoader: when you throw in everything but the kitchen sink — Marcus Hutchins, 20 de agosto de 2026.
Cyber Security News
Microsoft Teams Phishing Deploys New SynkLoader Malware to Steal Windows Passwords — 24 de agosto de 2026.
BleepingComputer
New SynkLoader malware pushed in Microsoft Teams phishing campaign — 21 de agosto de 2026.
Expel — Q2 2026 Threat Report
Dados sobre crescimento de ataques direcionados e phishing pelo Microsoft Teams.
Zscaler ThreatLabz
Helpdesk Hijackers: Teams Vishing, Quick Assist, and GoGRPC Backdoor — julho de 2026.
eSentire
Increase in Email Bombing and IT Impersonation Campaigns — abril de 2026.
Clique e fale com representante oficial Sophos
Veja também:
- Seu funcionário saiu do escritório. Seus dados foram junto?
- Falha CVSS 10 no Microsoft Entra ID permitia execução remota de código
- Ransomware em 2026: 79% dos ataques começam com identidades comprometidas
- Identidade descentralizada: DIDs e credenciais verificáveis entram no radar dos CISOs
- AWS Kiro: quando uma página maliciosa transforma Prompt Injection em execução de código
- Pentest em Sistemas de IA
- Microsoft SharePoint sob ataque: CVE-2026-50522 permite execução remota de código e exige ação imediata
- Amatera Stealer usa blockchain para ocultar servidores C2
- Ransomware em 2026: número de vítimas bate recorde
- Top 10 Malware usados por Hackers
- O resgate não é o custo do ransomware
Be the first to comment