Falso suporte no Teams instala o SynkLoader e rouba a senha do Windows

O golpe começa com um contato inesperado no Microsoft Teams: alguém se apresenta como suporte de TI e tenta convencer o usuário a instalar um MSI chamado “PowerShell Cleaner”. Interrompa a conversa, não abra o arquivo e confirme a solicitação por um telefone, portal ou outro canal oficial já conhecido.

Se o MSI já foi executado, considere o computador potencialmente comprometido. Isole-o das redes, não digite a senha do Windows em uma tela de bloqueio inesperada e acione a equipe de segurança usando outro dispositivo confiável; o SynkLoader inclui recursos para capturar a senha e usar a máquina como caminho de acesso à rede.

Como reconhecer o falso suporte

A abordagem documentada combina elementos familiares do ambiente corporativo com um pedido que foge do processo normal. O remetente adota um nome semelhante a “IT Service Desk”, alega que há um problema no computador e apresenta a instalação de uma suposta ferramenta de limpeza como solução.

Na análise técnica da Expel, o contato partia de um endereço externo com domínio onmicrosoft.com e direcionava a vítima a um MSI hospedado no Azure. Depois de executado, o instalador extraía o carregador SynkLoader, iniciava PowerShell oculto e podia receber módulos para persistência, comandos remotos, tunelamento de conexões e uma falsa tela de bloqueio do Windows.

Nem o domínio da Microsoft no endereço nem a hospedagem no Azure demonstram que o contato pertence à empresa da vítima. Os sinais decisivos são a mensagem não solicitada, a pressão para instalar software, o diagnóstico vago e a tentativa de impedir uma confirmação independente.

• Confira o endereço completo e o indicador de contato externo, não apenas o nome e a foto exibidos.
• Desconfie de pedidos de instalação que não estejam associados a um chamado aberto por você.
• Não aceite links, números de telefone ou canais de validação fornecidos pelo próprio remetente suspeito.
• Não conceda controle remoto nem compartilhe a tela para “corrigir” o suposto problema.

O que fazer antes de abrir o MSI

Não execute o arquivo para descobrir se ele é legítimo. Encerre a interação e valide o atendimento diretamente com a área de TI; a cobertura independente do caso também identifica a personificação do suporte no Teams, o falso PowerShell Cleaner e a tela criada para obter a senha do sistema.

1. Não clique novamente no link, não abra o MSI e não o encaminhe a colegas.
2. Preserve a conversa, o endereço do remetente, o horário, o nome do arquivo e o endereço de download.
3. Abra um chamado no portal oficial ou telefone para um número previamente conhecido.
4. Informe onde o arquivo foi salvo e siga a orientação da equipe responsável sobre coleta ou remoção.

Um download sem execução não equivale, por si só, à instalação do malware. Ainda assim, a conversa e o arquivo podem permitir que a equipe identifique outros destinatários, bloqueie a distribuição e examine o conteúdo com ferramentas apropriadas; não apague essas evidências antes de receber orientação.

Se o PowerShell Cleaner já foi executado

A prioridade é interromper a comunicação do malware e evitar novas exposições. Desconecte o cabo de rede e desative Wi-Fi e outras conexões de dados, mas não continue navegando, abrindo documentos ou improvisando uma limpeza. Em um equipamento corporativo, consulte a resposta a incidentes antes de desligá-lo, porque o estado ativo pode conter evidências relevantes.

Use outro aparelho confiável para avisar a equipe de segurança. Relate o horário aproximado da execução, se o instalador pediu privilégios administrativos, quanto tempo o computador permaneceu conectado, se apareceu uma tela de bloqueio e se alguma senha foi digitada.

A tela maliciosa é uma aplicação em tela cheia que imita o bloqueio do Windows. Na amostra analisada, a possibilidade de abrir o seletor Alt+Tab e a ausência do desfoque de fundo com o campo de senha em foco ajudavam a diferenciá-la; esses sinais não justificam testar a tela. Não digite a senha real nem tente contornar o programa para continuar trabalhando.

Também não basta excluir o MSI da pasta de downloads. A execução pode deixar componentes no perfil do usuário, código ativo na memória e persistência por tarefa agendada, além de permitir o recebimento de módulos adicionais. A remediação deve ser conduzida como investigação do endpoint, não como simples remoção de um arquivo.

Trilha de resposta para a equipe de segurança

A resposta precisa tratar simultaneamente o endpoint e a identidade. Preserve a conversa do Teams, os metadados do remetente, o instalador, os alertas do EDR e os registros de rede; depois, procure contatos semelhantes enviados a outros usuários.

1. Isole o endpoint pela ferramenta corporativa ou pela rede, respeitando o procedimento de coleta forense.
2. Verifique a execução do MSI, processos incomuns de PowerShell e Python no perfil do usuário, tarefas agendadas desconhecidas e os indicadores publicados para a campanha.
3. Se uma senha foi digitada na tela falsa, redefina-a a partir de um dispositivo confiável e investigue reutilização em outras contas.
4. Bloqueie o remetente e o endereço de distribuição, remova mensagens relacionadas e examine conexões posteriores à execução.
5. Revise autenticações, sessões, acessos a aplicações e indícios de movimentação a partir do equipamento afetado.

Para identidades potencialmente expostas, a documentação do Microsoft Entra orienta administradores autorizados a bloquear novos logins e revogar sessões e tokens de atualização. A revogação não encerra necessariamente de imediato todas as sessões: aplicações que emitem seus próprios cookies podem exigir ações adicionais.

Um fluxo de decisão para interromper o golpe

Se o contato é inesperado e pede a instalação de software, a decisão segura é não executar nada até que o atendimento seja confirmado por outro canal. A aparência legítima do Teams, de um endereço onmicrosoft.com ou de um arquivo no Azure não substitui um chamado verificável e um pacote aprovado.

Se não houve execução, preserve os registros e comunique a tentativa. Se houve execução, isole o equipamento e acione a resposta a incidentes; se a senha foi informada, acrescente a contenção da identidade. Essa separação evita tanto tratar um simples download como infecção confirmada quanto subestimar uma máquina que já executou o instalador.