Kibervédelmi kutatók két új malware-családra hívták fel a figyelmet: WordlistLoader és SynkLoader a nevük. Ezeket további kártékony komponensek letöltésére használják, és feltehetően zsarolóvírus-csoportoknak értékesített hozzáférésekhez is köthetők.

A Gen Digital elemzése szerint a WordlistLoader segítségével terjesztik az Amatera Stealert (más néven ACR Stealer vagy AcridRain Stealer) ClearFake kampányokon keresztül. Ezek a ClickFix (FakeCaptcha) technikát vetik be, hogy a felhasználókat rávegyék: CAPTCHÁ-nak álcázott ellenőrzés ürügyén kártékony parancsokat futtassanak.

"Amikor a látogató rákattint az 'I'm not a robot' jelölőnégyzetre, végigvezetik a jól ismert ClickFix folyamaton. Ennek során egy kártékony parancs kerül a vágólapjára, majd arra utasítják, hogy illessze be a Windows Futtatás ablakába és hajtsa végre. Így töltődik le a WordlistLoader, amely végül az Amatera futtatásához vezet" – mondta Vojtěch Krejsa biztonsági kutató.

A ClickFix felugró ablakai valódi, de feltört weboldalakon jelennek meg. Ezekre olyan kártékony JavaScriptet fecskendeztek be, amely Base64-kódolt blob formájában kerül az oldalra. A blob egy másik JavaScriptet tölt le egy blokkláncon tárolt smart contractból. Ezt a módszert EtherHiding néven ismerik. A letöltött kódot a böngésző dinamikusan futtatja. Néhány, ClickFix felugrókat kiszolgáló, kompromittált oldal:

• abogadosrosarinos[.]com
• aptisweb[.]com
• avene-hebergement[.]com
• https-xhamster[.]com
• www.caesarjaco.co[.]id
• skybap[.]shop

Az elmúlt hónapokban a ClearFake kampányokat átalakították, és már a "cdn.jsdelivr[.]net" címet használják a támadók kártékony JavaScriptjeinek tárolására. Ez jól mutatja, hogyan élnek vissza egy legitim Content Delivery Network (CDN) szolgáltatással a kártékony kódok terítéséhez.

"Bár a CDN JavaScript tárolására szolgál, a támadók valójában kártékony PowerShell szkriptjeiket helyezik el rajta" – jegyezte meg az Expel idén januárban. "Úgy tűnik, a jsDelivr elég gyorsan eltávolítja a támadók kártékony tárolóit, de az első fázisban használt EtherHiding lehetővé teszi számukra, hogy a letiltott URL-eket könnyen friss, működő címekre cseréljék."

A ClickFix parancs a "conhost" segítségével indít el egy rejtett "cmd.exe" folyamatot, majd a pushd paranccsal felcsatol egy távoli WebDAV megosztást, végül a "rundll32.exe" segítségével elindítja a loadert. Érdemes megjegyezni, hogy ez a WebDAV-alapú megközelítés átfed egy, a közelmúltban a Microsoft által bemutatott hasonló kampánnyal.

Ebben a kampányban a ClickFix ablak arra utasítja az áldozatot, hogy futtasson egy parancsot, amely elindítja a "cmd.exe"-t. Ez hívja meg a "rundll32.exe"-t, ami egy távoli, HTTPS-en elérhető WebDAV megosztásról tölt be egy DLL-t. Háromféle parancsváltozatot figyeltek meg:

• Közvetlen rundll32 hívás
• pushd-vel felcsatolt WebDAV megosztás, majd rundll32.exe hívás
• Fej nélküli, obfuszkált pushd futtatás, majd rundll32.exe hívás (ez egyezik a WordlistLoader fertőzési lánccal)

„A fejlettebb változatban a támadók tovább növelik a rejtőzködést azzal, hogy a parancsokat a conhost.exe –headless módján keresztül indítják, így nem jelennek meg látható konzolablakok. Emellett környezeti változókat obfuszkálnak, és késleltetett változókibontást használnak, hogy elrejtsék a kritikus végrehajtási elemeket, például a pushd-t, a rundll32-t és a távoli gép nevét” – közölte a Microsoft.

„Ha ezt kombinálják a minimalizált vagy fej nélküli futtatással, a technikák csökkentik a felhasználó számára látható jeleket, megnehezítik a statikus elemzést és az észlelést, és lehetővé teszik, hogy a fertőzési lánc szinte észrevétlenül fusson végig az áldozat gépén.”

A fő különbség az, hogy a Microsoft által 2026 április vége és június közepe között, az ACR Stealer betörési láncához kapcsolódva megfigyelt, Python-alapú loadereket lecserélték WordlistLoaderre. Az ACR Stealert szintén ClickFix ablakokon keresztül terjesztették, amelyek olyan parancsot indítottak, ami MSHTA-t futtatott, hogy egy támadók által vezérelt domainről távoli HTA-t töltsön le és hajtson végre.

Ez egy VBScript loader futtatásához vezet, amely dekódol és elindít egy PowerShell szkriptet. A PowerShell egy képmegosztó szolgáltatásról tölt le egy JPEG képet, majd a memóriában kinyeri belőle a stealer payloadot, hogy minimális nyomot hagyjon a lemezen, és ezzel megnehezítse az észlelést és az elemzést.

„A WordlistLoader elsődleges feladata, amely az Amatera fertőzési lánc köztes állomása, hogy újraépítse azt a shellcode-ot, amely a további lépések belépési pontjaként szolgál” – írta a Gen Digital. Emellett hardveres töréspontokra épülő módszert használ az Event Tracing for Windows (ETW) megkerülésére, hogy ne maradjanak nyomai a kártékony tevékenységnek.

A WordlistLoader a nevét onnan kapta, hogy a shellcode kódolt formában, egyszerű angol szavak sorozataként tárolódik, ahol minden szó egy bájtot jelöl. A Gen szerint azonosítottak egy olyan változatot is, amely a szólista helyett 16 bájtos, UUID-ként kódolt darabok tömbjét használja.

A shellcode végül egy reflektív loadert hív meg, amely kicsomagolja és betölti az Amaterát. Ugyanezt a reflektív loadert megfigyelték 2026 áprilisának végén egy másik ClickFix kampányban is, amely az Amatera 4.3.3-alpha1 verzióját terítette.

A stealer legújabb verziója frissített statikus obfuszkációt, megerősített syscall-hívásokat használ a WoW64 transition segítségével, dinamikusan generált x64 indirect-syscall trampolinokat hív meg a Heaven's Gate technikán keresztül, és átdolgozott, alkalmazáshoz kötött titkosítási (ABE) megkerülést tartalmaz, amely láthatóan közvetlenül a Remus Stealer megoldásából merít.

SynkLoader Microsoft Teams adathalászattal terjed

Időközben a SynkLoader egy Microsoft Teams adathalász kampányon keresztül kezdett terjedni. A cél a rendszerbe való bejelentkezéshez használt hitelesítő adatok megszerzése egy hamis zárolási képernyővel. A tevékenységet az Expel 2025 augusztusának közepén észlelte.

„Valaki egy <username>@<company>.onmicrosoft.com e-mail címről (a Microsoft 365 alapértelmezett céges e-mail tartománya) kereste meg a célpontot, IT Service Desk (<Fake Name>) néven” – mondta Marcus Hutchins, az Expel biztonsági kutatója nyilatkozatában.

„Az IT service desk rábeszélte a felhasználót, hogy töltsön le és telepítsen egy MSI telepítőt egy Microsoft Azure fájltároló végpontról (https://filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi),), amitől úgy tűnt, mintha a fájl a Microsofttól származna.”

Az MSI telepítő PowerShell Cleaner néven fut, és indításkor kicsomagol egy ZIP archívumot és egy PowerShell szkriptet. A szkript automatikusan, memóriából fut. Feladata, hogy kibontsa az archívum tartalmát, majd elindítson belőle egy Python-alapú loadert. Ez a loader a három beégetett command-and-control (C2) domain egyikét választja, véletlenszerű időközönként jelentkezik a szervernél, a kérések között pedig 90–120 másodpercet vár.

A loader ezután visszafejti és végrehajtja a szervertől érkező válaszokat. Legalább hét különböző modult azonosítottak –

• System Profiler: C# DLL, amely adatokat gyűjt a célrendszerről.
• Persistence Module: natív DLL, amely véletlenszerű nevű ütemezett feladatot hoz létre. Ez minden bejelentkezéskor és naponta 10 órakor elindítja a SynkLoadert.
• PhishLocker: DLL, amely hamis Windows zárolási képernyőt jelenít meg, hogy megszerezze a felhasználó bejelentkezési jelszavát.
• TrafficRedirector: backconnect vagy reverse proxy, amely lehetővé teszi a támadónak, hogy elérje a helyi hálózati szolgáltatásokat, vagy az internetes forgalmat az fertőzött gépen keresztül irányítsa.
• Interactive Shell: egy remote access trojan (RAT) modul, amely PowerShell parancsokat futtat, és továbbítja az eredményt
• StreamMaster: egy Virtual Network Computing (VNC) modul, amely közvetíti az áldozat asztalát, és lehetővé teszi az egér és a billentyűzet távoli vezérlését
• Status Checker: egy Python script, amely visszajelzést küld arról, hogy a modulok közül éppen melyek futnak a rendszeren

Nem egyértelmű, mi a támadók végső célja, de valószínű, hogy az eszközkészlet egy zsarolóvírus-csoporthoz vagy egy kezdeti hozzáférést értékesítő szereplőhöz tartozik.