Auf den Punkt: TWINLOOT missbraucht SharePoint, Teams-TURN und die Edge-Instanz des Opfers als Command-and-Control-Kanäle innerhalb legitimer Microsoft-Infrastruktur und umgeht damit Detection-Systeme, die Microsoft-Traffic pauschal vertrauen.
Sicherheitsforscher des Ontinue Cyber Defense Center haben ein Python-Malware-Framework namens TWINLOOT entdeckt, das SharePoint Online, Microsoft Teams und die Edge-Browser-Instanz des Opfers für seine Steuerungskommunikation nutzt. Da der Datenverkehr innerhalb legitimer Microsoft-Infrastruktur bleibt, unterläuft die Malware klassische Erkennungsmechanismen, die Microsoft-Traffic pauschal als vertrauenswürdig einstufen.
Ontinue entdeckte den Implant im Juli 2025 während der Untersuchung einer aktiven Kampagne. TWINLOOT nutzt SharePoint Online als dateibasierten Dead Drop, der etwa alle 15 Sekunden eine Drive abfragt, um Befehle zu empfangen sowie gestohlene Zugangsdaten und Recon-Daten zu exfiltrieren. Für interaktiven Zugriff baut die Malware einen Reverse-SOCKS5-Tunnel über die TURN-Infrastruktur von Microsoft Teams auf – erst der zweite bekannte Fall von Teams-TURN-Missbrauch in freier Wildbahn und laut Ontinue der erste mit echten WebRTC-DataChannels. Parallel startet der Implant eine headless Instanz des Edge-Browsers des Opfers, koppelt sich über das Chrome DevTools Protocol an und sendet Microsoft-Graph-API-Anfragen als „same-origin fetch()“-Requests, sodass der Netzwerkverkehr wie ein legitimer Edge-Prozess erscheint. Die Authentifizierung erfolgt gegen einen von den Angreifern kontrollierten Azure-Tenant statt gegen die Microsoft-365-Umgebung des Opfers, wodurch in den Entra-ID-Logs des Opfers keine Authentifizierungs- oder Audit-Ereignisse entstehen.
Für CISOs verschiebt TWINLOOT eine grundlegende Erkennungsannahme: Traffic zu Microsoft-IP-Bereichen gilt in vielen Detection-Stacks standardmäßig als unbedenklich, weil kein angreiferkontrollierter Domainname im Kommunikationspfad auftaucht. Shane Barney, CISO bei Keeper Security, beschreibt das Problem so, dass der Verkehr exakt so aussieht, wie er aussehen soll, und die meisten Erkennungswerkzeuge ihn deshalb unbehelligt lassen. Robert Coles, Senior Manager Threat Intelligence Security bei Black Duck, ordnet dies als Teil eines breiteren Trends ein, bei dem Angreifer zunehmend vertrauenswürdige Cloud-Dienste statt eigener Infrastruktur nutzen. Er empfiehlt den Fokus auf Verhaltenserkennung, Identity Monitoring und Anomalieerkennung – insbesondere bei ungewöhnlicher Graph-API-Aktivität, OAuth-Anwendungen und Consent-Grants sowie auffälligem SharePoint- und Teams-Verhalten.
Auf Befehl zeigt TWINLOOT einen gefälschten Windows-10- oder Windows-11-Sperrbildschirm mit den echten Kontodaten des Opfers an. Das eingegebene Passwort wird nie validiert, sondern jeder Eingabeversuch wird abgefangen, verschlüsselt und über den SharePoint-C2-Kanal exfiltriert; das Opfer sieht dabei eine unauffällige Fehlermeldung, bevor die Anmeldung schließlich erfolgreich verläuft. Die so erbeuteten Zugangsdaten können über den Reverse-SOCKS-Tunnel für laterale Bewegung genutzt werden, etwa für Zugriffe via RDP, SMB oder WinRM. Zusätzlich verwendet die Malware eine laut Ontinue erstmals in freier Wildbahn beobachtete Persistenztechnik namens „Corrupting the Hive Mind“: Dabei wird offline eine Windows-„NTUSER.MAN“-Mandatory-Profile-Hive erzeugt, was keine Administratorrechte erfordert und kein Registry-Modification-Event auslöst.
Für die Verteidigung bedeutet dies, dass reine Netzwerk- und Domain-basierte Detektion gegen TWINLOOT wirkungslos ist. Sicherheitsteams sollten SharePoint-Zugriffsmuster, Teams-TURN-Verbindungen und Graph-API-Aufrufe auf Anomalien prüfen, OAuth-Consent-Grants regelmäßig auditieren und Prozessverhalten von Edge-Instanzen überwachen, die ungewöhnliche API-Aufrufe ausführen. Microsoft hatte zum Zeitpunkt der Veröffentlichung noch nicht auf eine Anfrage von CSO reagiert.
Quelle: www.csoonline.com · Erschienen 18. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.