Twee nieuwe malwarefamilies trekken de aandacht van onderzoekers: WordlistLoader en SynkLoader. Ze worden ingezet om vervolgacties mogelijk te maken en zouden mogelijk ook worden gebruikt om toegang te verkopen aan partijen die later ransomware inzetten. Wat deze campagnes bovendien gemeen hebben, is dat ze sterk leunen op misleiding: gebruikers worden via ogenschijnlijk legitieme interacties richting schadelijke uitvoering gestuurd.
Onderzoekers koppelen WordlistLoader aan de distributie van Amatera Stealer (ook bekend als ACR Stealer of AcridRain Stealer). SynkLoader wordt volgens de bevindingen verspreid via phishing in Microsoft Teams, waarbij slachtoffers worden verleid tot het invoeren van inloggegevens in een nep-lockscreen. In deze context lijkt “geautomatiseerde schorsingen”—het automatisch blokkeren of saboteren van zichtbare stappen—meer dan alleen een concept: de uitvoering is juist ingericht om de detectie en zichtbaarheid van gebruikers te beperken.
WordlistLoader: Amatera via ClickFix-trucs
WordlistLoader fungeert als tussenstap binnen een keten die uiteindelijk leidt tot het uitvoeren van Amatera. De campagne werkt volgens het principe van ClickFix, een techniek die lijkt op “fake CAPTCHA”-achtige verificaties. Slachtoffers krijgen op geïnfecteerde websites prompts die het klikschema nabootsen van echte anti-bot checks.
Het proces start wanneer een bezoeker op de checkbox klikt (“I’m not a robot”). Daarna volgt een bekende ClickFix-flow waarin een kwaadaardige opdracht naar het klembord wordt gekopieerd. Vervolgens wordt de gebruiker aangemoedigd om die opdracht te plakken in het Windows Run-venster en uit te voeren. Pas daarna wordt de loader gedownload, waarna de volgende fase kan starten.
JavaScript-injectie en EtherHiding
De ClickFix-prompts worden weergegeven via geïnjecteerde malafide JavaScript. Dat script bevat een Base64-achtige “blob” die op zijn beurt weer code ophaalt van een opslagplaats die verbonden is met een smart contract. Deze aanpak wordt beschreven als EtherHiding: het verbergt of omzeilt hoe en waar de daadwerkelijke instructies worden opgehaald.
Daarnaast rapporteren onderzoekers dat campagnes de afgelopen tijd zijn aangepast met behulp van het jsDelivr-netwerk (cdn.jsdelivr.net). Dat is opvallend omdat dit een legitiem CDN is. In plaats van alleen “normale” bestanden te leveren, werd het CDN in deze context gebruikt om een schadelijke PowerShell-stap te hosten. Een voordeel voor aanvallers is dat ze URL’s kunnen vernieuwen zodra onderdelen offline worden gehaald.
Van conhost tot rundll32
Bij de infectieketen draait het om het opstarten van processen die de gebruiker zo min mogelijk opvallen. De opdracht gebruikt daarbij conhost om een verborgen cmd.exe-proces te starten. Daarna wordt een remote WebDAV-share gemapt via pushd. Uiteindelijk wordt de loader aangeroepen met rundll32.exe.
In eerdere versies van vergelijkbare campagnes werd eenzelfde patroon gezien: eerst een ClickFix-achtige prompt, daarna een cmd.exe die vervolgens een DLL laadt vanaf een remote WebDAV-share via HTTPS. Onderzoekers noemen drie varianten van de command-line aanpak—van direct rundll32 tot een variant waarin de pushd-stap “headless” wordt uitgevoerd.
In de geavanceerdere variant schaven aanvallers extra aan stealth: conhost wordt ingezet met minder zichtbare consoles (“headless”), en essentiële onderdelen worden verborgen met obfuscation-trucs rond environment variables en delayed expansion. Samen zouden die maatregelen de zichtbaarheid voor de gebruiker verkleinen en analyse en detectie moeilijker maken.
Waarom WordlistLoader zo specifiek is
De kern van WordlistLoader is dat het een tussenfase vormt. De bedoeling is om een stuk shellcode opnieuw op te bouwen. Daarna kan de keten verder met de daadwerkelijke uitvoering van Amatera.
Opvallend is ook hoe die shellcode wordt opgeslagen: volgens Gen Digital staat die in gecodeerde vorm als een reeks woorden uit het Engels, waarbij elk woord één byte voorstelt. Er is zelfs een variant gemeld die in plaats daarvan overschakelt naar chunks die zijn versleuteld met UUID-achtige segmenten van 16 bytes.
Daarnaast beschrijven onderzoekers een methode die gebruikmaakt van hardware breakpoints om de activiteit te beïnvloeden richting Event Tracing for Windows (ETW). Het doel is om sporen te vermijden en minder “telemetrie” achter te laten.
Reflective loader en vernieuwingen in Amatera
De shellcode maakt gebruik van een reflective loader die de inhoud uitpakt en laadt zonder een klassiek, makkelijk te traceren disk footprint. In eerdere meldingen rond ClickFix-campagnes met Amatera werd dezelfde reflective loader teruggevonden, wat duidt op hergebruik van een bewezen bouwsteen.
Ook de nieuwste versie van de stealer bevat verbeteringen. Onderzoekers noemen onder meer updates in statische obfuscation, harden van syscall-afhandeling via WoW64-transition, en indirect-syscall trampolines met Heaven’s Gate-technieken. Ten slotte wordt melding gemaakt van een aangepaste manier om een application-bound encryption (ABE)-bypass door te voeren, die volgens de analyses inspiratie toont uit Remus Stealer.
SynkLoader: Microsoft Teams phishing met nep-lockscreen
Naast WordlistLoader waarschuwen onderzoekers voor SynkLoader. Deze malware werd volgens rapporten verspreid via een Microsoft Teams phishing-campagne die gericht is op het stelen van Windows-inloggegevens.
De trigger is een bericht vanuit iemand die zich presenteert als een IT Service Desk. Het bericht komt daarbij naar de gebruiker toe vanuit een e-mailadres dat gebruikmaakt van het standaard domeinformaat van Microsoft 365 voor bedrijven. Dat geeft het verzoek een legitieme uitstraling, waardoor slachtoffers sneller geneigd zijn om te handelen.
De gebruiker wordt vervolgens verleid om een MSI te downloaden en te installeren. Het MSI-bestand wordt aangeboden via een endpoint dat lijkt op een opslaglocatie in Microsoft Azure. Het bestand wordt gepresenteerd als een PowerShell Cleaner.
In-memory uitvoering en C2-communicatie
Na het draaien van de MSI komt een ZIP-archief en een PowerShell-script vrij, dat vervolgens automatisch in het geheugen wordt uitgevoerd. Daarna wordt een Python-based loader gestart. Die loader kiest uit drie vooraf ingestelde command-and-control-domeinen en checkt met het serverdeel. Tussen de verzoeken zit een pauze van 90 tot 120 seconden, wat kan helpen om minder opvallend te zijn.
De loader decodeert en voert vervolgens antwoorden van de server uit. In het rapport worden minimaal zeven modules genoemd, elk met een eigen rol in de keten.
- System Profiler: een C# DLL die informatie over het systeem verzamelt.
- Persistence Module: een native DLL die een geplande taak aanmaakt die SynkLoader start bij inloggen en dagelijks om 10:00.
- PhishLocker: een DLL die een nep Windows-lockscreen toont en wachtwoorden opvangt.
- TrafficRedirector: een backconnect/reverse proxy om het verkeer om te leiden of lokale services te benaderen.
- Interactive Shell: een remote access trojan-module voor het uitvoeren van PowerShell-opdrachten en het terugsturen van resultaten.
- StreamMaster: een VNC-module waarmee een aanvaller het desktopbeeld kan streamen en muis/toetsenbord kan overnemen.
- Status Checker: een Python script dat terugrapporteert welke modules draaien.
De onderzoekers geven aan dat niet volledig duidelijk is wat de einddoelen zijn. Er is wel een vermoeden dat het kan passen bij een ransomwaregroep of een initial access broker—partijen die eerst toegang verwerven en later doorschakelen.
Wat dit betekent voor organisaties
Deze twee campagnes laten zien dat aanvallers minder leunen op één “grote” hack en meer op ketens met slimme tussenstappen. ClickFix-achtige prompts verplaatsen de verantwoordelijkheid naar de gebruiker (“klik”, “plak”, “voer uit”), terwijl phishing via Teams gebruikmaakt van vertrouwde communicatiekanalen en een IT-rol.
Daarnaast zien we herhaling in methodes om zichtbaarheid te beperken: verborgen processtarts, in-memory uitvoering en technieken om logging of sporen minder bruikbaar te maken. In zo’n omgeving past het idee van geautomatiseerde schorsingen niet alleen op het niveau van accounts of EDR-meldingen, maar ook op de manier waarop aanvallen zichzelf “dynamisch” kunnen aanpassen wanneer onderdelen worden afgeschakeld.
Praktische aandachtspunten
Voor verdediging is het vooral van belang om processen en ketens te doorbreken. Denk aan strikte controle op het uitvoeren van onverwachte commando’s vanuit gebruikerscontext, en beleid rond het downloaden en installeren van bestanden die via chat of mail worden aangeboden.
Verder helpt het om gebruikers te trainen in het herkennen van nep-verificaties en nep-lockscreens. Als een “IT Service Desk” vraagt om een installer te draaien die niet via het interne proces is aangevraagd, moet dat direct een alarmbel zijn.
Tot slot is patch- en detectiehygiëne essentieel. Mocht je willen verdiepen in hoe misbruik van tooling en platformcomponenten zichtbaar wordt in praktijk, dan is ook ons artikel over QUICSILVER en backdoor-achtige ketens relevant: vergelijkbare patronen rond tussenstappen en uitvoering komen steeds terug.
Gerichte monitoring: van ClickFix naar Teams
De opvallendste les is dat beide campagnes verschillende ingangen hebben, maar dezelfde logica van uitvoering delen. WordlistLoader start via malafide JavaScript en gebruikerstrucjes op webpagina’s. SynkLoader start via een Teams-bericht dat een MSI richting een Python-loader en modulaire payloads leidt.
Daarom werkt monitoring het best wanneer je niet alleen naar “één malafide hash” kijkt, maar naar gedrag. Bijvoorbeeld: opvallende PowerShell-uitvoering in combinatie met het ophalen van externe code, of het verschijnen van een nep-lockscreen-achtige flow gecombineerd met module-activiteit.
Als je daarnaast aandacht hebt voor AI- en applicatiebeveiliging in bredere zin, kan ons stuk over application security in het AI-tijdperk helpen om te begrijpen waarom beveiliging steeds meer een ketenbenadering vraagt—ook buiten de klassieke exploit-discussie.
Conclusie
WordlistLoader en SynkLoader laten zien hoe aanvallers misleiding combineren met slimme tussenstappen: ClickFix-achtige CAPTCHA-trucs sturen slachtoffers richting het uitvoeren van commando’s die een loader activeren, terwijl Teams-phishing met een nep-lockscreen rechtstreeks wachtwoordverlies kan veroorzaken. In beide gevallen is het doel een volgende fase mogelijk maken—vaak richting diefstal of uiteindelijke ransomware-achtige belangen.
Voor organisaties betekent dit dat je bescherming niet alleen moet baseren op één detectiemethode. Richt je op gedragsdetectie, beperk het vertrouwen in “IT-berichten” en verdachte installaties, en houd de keten van uitvoering scherp in het vizier. Zo voorkom je dat geautomatiseerde schorsingen en blokkades pas achteraf helpen—terwijl de echte schade al in motion is.
Bron: https://thehackernews.com/2026/08/wordlistloader-delivers-amatera-via.html
