Auf den Punkt: Das neu entdeckte Python-Implantat TWINLOOT nutzt SharePoint Online und Microsoft Teams als vollständige Command-and-Control-Infrastruktur, wodurch klassische netzwerkbasierte Erkennungsmechanismen umgangen werden.
Sicherheitsforscher von Ontinue haben ein bislang undokumentiertes Python-Implantat namens TWINLOOT identifiziert, das seine gesamte Command-and-Control-Infrastruktur innerhalb vertrauenswürdiger Microsoft-Dienste betreibt. Für Verteidiger bedeutet das: klassische Netzwerk-Indikatoren wie verdächtige externe IP-Adressen oder unbekannte Domains fallen als Erkennungsmerkmal weitgehend aus.
Nach Angaben von Ontinue handelt es sich bei TWINLOOT um ein modulares, mit PyArmor gehärtetes Python-Implantat. Die Härtung erschwert die statische Analyse und das Reverse Engineering des Schadcodes erheblich, da PyArmor Python-Bytecode verschlüsselt und zur Laufzeit entschlüsselt. Der eigentliche Clou liegt jedoch in der Kommandostruktur: Die Steuerung der infizierten Systeme läuft über SharePoint-Online-Dateien, während weitere Kommunikationskanäle über Microsoft Teams abgewickelt werden. Konkrete technische Details zu Übertragungsformaten, verwendeten API-Endpunkten oder betroffenen Versionen nennt der Bericht von Ontinue an dieser Stelle nicht.
Für CISOs ist die Relevanz unmittelbar: Angriffe, die sich vollständig innerhalb legitimer Microsoft-365-Dienste bewegen, unterlaufen viele klassische Netzwerk-basierte Detektionsmechanismen. Traffic zu SharePoint Online und Teams wird in den meisten Unternehmensumgebungen als vertrauenswürdig eingestuft und selten tiefgehend inspiziert oder blockiert. Dadurch kann Command-and-Control-Verkehr in scheinbar normalem Business-Traffic verschwinden, was die Angriffserkennung erschwert und die Verweildauer eines Angreifers im Netzwerk verlängern kann.
Aus operativer Sicht sollten Sicherheitsteams ihre Detektionsstrategie entsprechend anpassen: Statt sich allein auf IP- und Domain-basierte Indikatoren zu verlassen, empfiehlt sich eine verhaltensbasierte Überwachung von SharePoint- und Teams-Aktivitäten, etwa ungewöhnliche Zugriffsmuster auf Dateien, atypische API-Aufrufe oder auffällige Nutzungszeiten. Ergänzend sollten Organisationen prüfen, ob ihre bestehenden EDR- und SIEM-Regeln Microsoft-365-Telemetrie ausreichend abdecken, um Missbrauch vertrauenswürdiger Cloud-Dienste als C2-Kanal frühzeitig zu erkennen.
Quelle: thehackernews.com · Erschienen 18. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.