Der Name SynkLoader verweist auf die ungewöhnliche Sprachmischung des Schädlings: Python, PowerShell, C# und C++ kommen zum Einsatz, in einzelnen Modulen werden bis zu drei Programmiersprachen kombiniert.
Der Installationsvorgang beginnt mit dem in Azure gehosteten MSI-Paket. Es entpackt ein PowerShell-Skript namens cleaner.ps1 sowie ein ZIP-Archiv, das das Python-Framework, ein bösartiges Python-Skript, vorkompilierte Python-Bibliotheken und mehrere gefälschte Microsoft-Runtime-DLLs enthält. Welche Module danach ausgerollt werden, entscheiden die Angreifer abhängig vom Profil der kompromittierten Umgebung und ihren operativen Zielen.
Um den Modulbestand zu erfassen, richtete Expel einen Honeypot ein, der sich gegenüber dem Command-and-Control-Server der Angreifer als echtes Opfer ausgab. Für das Reverse-Shell-Modul schrieben die Forscher zudem einen Emulator: „Wir haben am Ende einen Emulator für das Reverse-Shell-Modul geschrieben, nur um zu bestätigen, dass es sich wirklich um einen manuell gesteuerten Angriff handelt", so Hutchins. Der Angreifer habe mehrere Profiling-Befehle abgesetzt, dann jedoch bemerkt, dass er sich nicht in einer echten Umgebung befand, und die Verbindung getrennt.
Das aus Sicht der Forscher interessanteste Bauteil ist PhishLocker. Das Modul zeigt einen gefälschten Sperrbildschirm und versucht so, das Windows-Kontopasswort abzugreifen. Gelingt das, lässt sich der Zugang gemeinsam mit dem Tunneling-Modul nutzen, um vom infizierten Gerät aus in Unternehmensnetze zu gelangen – Einschränkungen über IP-Freigabelisten greifen dann nicht mehr.
Die Nachbildung wirkt laut Expel besonders überzeugend, hat aber eine simple Schwäche: Ein Druck auf Alt+Tab legt die aktiven Fenster über dem Sperrbildschirm frei, denn technisch handelt es sich lediglich um eine „bildschirmfüllende, rahmenlose GUI-Anwendung". Bei einem unerwarteten Sperrbildschirm lässt sich dessen Echtheit entsprechend über Strg+Alt+Entf oder Alt+Tab prüfen.
Hutchins ordnet SynkLoader dem Ransomware-Umfeld zu: Die Schadsoftware legt einen deutlichen Schwerpunkt darauf, die Größe der Active-Directory-Umgebung zu messen.
Expel hat zu dem beobachteten Angriff Indikatoren einer Kompromittierung (IoCs) veröffentlicht, weist aber selbst auf deren begrenzten Nutzen hin: Die Hashwerte der SynkLoader-Module sind pro Infektion einzigartig und für Verteidiger daher kaum brauchbar. Als wirksamere Maßnahme empfiehlt Expel, Anfragen angeblicher IT-Abteilungen unabhängig zu verifizieren und keine unaufgefordert zugesandten MSI-Dateien zu installieren.