Malware · 49 giorni fa
Gen Digital ha osservato WordlistLoader e SynkLoader in due campagne che spostano il credential theft su superfici fidate: siti legittimi compromessi e Microsoft Teams. Nel primo caso, WordlistLoader porta Amatera tramite ClickFix; nel secondo, SynkLoader ruba credenziali Windows passando per un’interazione che sembra normale all’utente.
Il meccanismo è semplice e pericoloso. La finta CAPTCHA non fa scaricare nulla: copia un comando negli appunti e induce a incollarlo nella finestra Run di Windows, così il sistema avvia il loader al posto dell’attaccante. Su Teams, la pressione è sulla fiducia nel canale: l’utente finisce a consegnare credenziali Windows su una schermata che non sembra phishing. Il risultato non è solo furto di password, ma accesso iniziale spendibile e rivendibile.
Per chi monitora endpoint e identità, il punto è che email e allegati non bastano più come linea di difesa mentale. Quando il canale è un sito compromesso o una chat aziendale, l’abuso della fiducia diventa parte della catena di accesso, e questo amplia la superficie esposta verso campagne che alimentano anche il mercato del ransomware.
2 fonti che coprono questa storia
Tricky 'SynkLoader' Multitool May Herald Ransomware
An advanced malware family brings back a trick from yesteryear — screen hijacking — for effective password theft, along with a slew of novel features.
WordlistLoader Delivers Amatera via ClickFix, SynkLoader Phishes Windows Passwords
WordlistLoader delivers Amatera via ClearFake ClickFix attacks, while SynkLoader uses Teams phishing to steal Windows login credentials.
Part of the PlainSec briefing for 2026-08-25