Un messaggio su Microsoft Teams da qualcuno che dice di essere dell'help desk IT, la richiesta di installare un tool di manutenzione chiamato "PowerShell Cleaner", un file MSI ospitato su un dominio Microsoft. Poi il computer sembra bloccarsi e compare la schermata di blocco di Windows: l'utente digita la propria password, come farebbe cinquanta volte alla settimana. Solo che quella schermata è falsa, ed è il modulo di un malware.

Si chiama SynkLoader ed è una famiglia finora sconosciuta, documentata dai ricercatori di Expel e ripresa il 21 agosto da BleepingComputer. Le date di compilazione dei binari indicano che è in circolazione da circa il 28 luglio 2026.

Come funziona la catena di attacco

L'aggancio avviene su Microsoft Teams: l'attaccante contatta la vittima impersonando l'help desk IT interno dell'azienda. È una tecnica che Microsoft ha già segnalato come in crescita negli attacchi multi-stadio.

Convinta la vittima, l'attaccante la indirizza al download di un finto "PowerShell Cleaner", un installer MSI ospitato su infrastruttura Microsoft Azure. Il dettaglio non è casuale: un link a un dominio Microsoft supera i controlli di reputazione e disinnesca il sospetto anche in un utente mediamente attento.

L'installer estrae uno script PowerShell (cleaner.ps1) e un archivio ZIP contenente un runtime Python completo, uno script Python malevolo, librerie Python precompilate e diverse DLL di runtime Microsoft contraffatte, usate per il side-loading.

Il toolkit che ne risulta è modulare e piuttosto completo:

  • PhishLocker — mostra una finta schermata di blocco di Windows per farsi consegnare la password in chiaro;
  • TrafficRedirector — crea un reverse proxy che consente di raggiungere servizi interni o di instradare traffico attraverso la macchina infetta;
  • Interactive Shell — esecuzione remota di comandi PowerShell con restituzione dell'output;
  • StreamMaster — accesso desktop remoto in stile VNC, con controllo di mouse e tastiera.

I tre elementi da notare

Il canale è Teams, non l'email. Praticamente tutto il perimetro di sicurezza di un'azienda è costruito attorno alla posta elettronica: gateway, sandboxing degli allegati, banner "mittente esterno", filtri anti-phishing. Teams, in moltissime organizzazioni, accetta messaggi da tenant esterni con le impostazioni predefinite e senza alcun controllo sul contenuto. È percepito come canale interno e fidato — ed è esattamente per questo che viene scelto.

Il payload è su Azure. Il blocco per reputazione del dominio non funziona, e nemmeno la regola informale "scarica solo da domini Microsoft" che molti utenti hanno interiorizzato. L'abuso di infrastruttura cloud legittima per l'hosting dei payload è ormai lo standard, non l'eccezione.

PhishLocker è il pezzo più insidioso. Non ruba un hash da craccare offline: chiede la password in chiaro all'utente, in un contesto in cui digitarla è del tutto normale. Con quella password l'attaccante entra in VPN, in Entra ID, nei sistemi legacy dove l'autenticazione a più fattori non è stata imposta. Non serve alcun exploit.

Cosa significa per le aziende italiane

Il pretesto dell'help desk funziona meglio proprio dove l'IT è esternalizzato, e cioè nella maggior parte delle PMI italiane. Il dipendente non conosce personalmente chi gli fornisce assistenza, i tecnici del fornitore cambiano nel tempo, e ricevere un messaggio da un nome mai sentito che dice "sono del supporto, ho visto un problema sulla tua postazione" rientra nella normalità quotidiana. Manca del tutto il controllo sociale che in un'azienda con IT interno farebbe scattare il dubbio.

Va aggiunto un punto che le campagne di formazione tendono a trascurare: la vittima tipica di questi attacchi non è il dipendente distratto, ma quello più collaborativo. Chi risponde subito, chi vuole risolvere il problema senza far perdere tempo. Costruire la sicurezza sull'idea che "basta stare attenti" significa scaricare su una persona una responsabilità che dovrebbe essere di configurazione.

Il profilo di rischio più alto lo hanno le organizzazioni che sommano tre condizioni: Teams aperto a qualunque tenant esterno con impostazioni di default, nessun controllo sull'esecuzione di applicazioni, e utenti che sono amministratori locali della propria macchina. È una combinazione ancora molto comune.

Il profilo normativo

Il furto della password è quasi sempre l'inizio di una violazione, non la violazione stessa. Ai fini dell'articolo 33 del GDPR il termine di 72 ore decorre dal momento in cui si acquisisce ragionevole certezza che l'evento sia avvenuto, e "stiamo ancora indagando" non sospende il termine: se il quadro non è completo si notifica per fasi, come previsto dall'articolo 33(4). Rimandare la notifica in attesa di avere tutti gli elementi è uno degli errori più frequenti e più sanzionati.

Per i soggetti in perimetro NIS2 (D.Lgs. 138/2024) c'è un aspetto ulteriore: formazione e igiene informatica di base rientrano esplicitamente fra le misure minime richieste. Una campagna come questa è precisamente ciò che l'obbligo di sensibilizzazione dovrebbe intercettare, e la verifica di efficacia della formazione va documentata — non basta il registro delle presenze a un corso.

Cosa fare subito

  • Restringete l'accesso esterno su Teams: disattivate l'External Access oppure limitatelo a una allow-list di domini partner, e disattivate la chat con account Teams personali o non gestiti. È la singola misura con il miglior rapporto fra sforzo ed efficacia.
  • Stabilite e comunicate una regola sola, memorizzabile: l'help desk non chiede mai di installare software via chat. Qualunque richiesta si verifica richiamando il numero interno noto, mai quello indicato nel messaggio.
  • Bloccate l'installazione di MSI da parte degli utenti con policy AppLocker o WDAC, e rimuovete i diritti di amministratore locale dove non sono strettamente necessari.
  • Create alert di rilevamento su installazioni MSI avviate da percorsi utente e su processi python.exe lanciati da directory temporanee: SynkLoader porta con sé il proprio runtime Python, il che lo rende anomalo su una postazione d'ufficio.
  • Insegnate il gesto, non il concetto: davanti a una schermata di blocco inattesa, premere Ctrl+Alt+Canc oppure Alt+Tab. Se la schermata non reagisce come dovrebbe, è falsa.
  • In caso di sospetto: cambiate la password da un'altra macchina, invalidate tutte le sessioni attive, e controllate i log di accesso di Entra ID cercando autenticazioni da posizioni o dispositivi anomali.
  • Imponete MFA resistente al phishing (FIDO2 o passkey) almeno su VPN, accessi amministrativi e posta. Contro un furto di password in chiaro è l'unica misura che regge davvero.