TWINLOOT lợi dụng SharePoint và Teams để đánh cắp thông tin đăng nhập
"Researchers disclosed TWINLOOT, a previously undocumented Python implant that abuses Microsoft 365 services for command-and-control, using SharePoint Online via the Microsoft Graph API for tasking and Microsoft Teams TURN relays for interactive access. The malware can steal Windows credentials with fake lock screens, establish persistence, and provide reverse SOCKS5 pivoting for lateral movement across internal networks; no CVE was mentioned."
Đây là mối đe dọa cao vì kết hợp đánh cắp credential, C2 ẩn trong Microsoft 365 và lateral movement qua SOCKS5. Việc lợi dụng SharePoint, Teams và Edge headless có thể làm giảm khả năng phát hiện bằng giám sát mạng thông thường.
Tác động vận hành ở mức đáng kể do có thể dẫn tới xâm nhập tài khoản, lan rộng trong mạng nội bộ và gián đoạn hệ thống phụ thuộc vào Microsoft 365. Doanh nghiệp nên ưu tiên phát hiện hành vi bất thường, rà soát quyền truy cập và tăng cường quy trình phản ứng sự cố.
Các nhà nghiên cứu an ninh đã công bố chi tiết về TWINLOOT, một Python implant trước đây chưa được ghi nhận, được thiết kế để vận hành hạ tầng command-and-control (C2) bên trong các dịch vụ Microsoft 365 đáng tin cậy. Mã độc này dùng SharePoint Online qua Microsoft Graph API để nhận lệnh, đồng thời tận dụng Microsoft Teams TURN relays và WebRTC DataChannels để cho phép truy cập tương tác từ xa.
Theo báo cáo, TWINLOOT có thể đánh cắp thông tin đăng nhập Windows bằng các màn hình khóa giả, duy trì persistence, thực thi lệnh tùy ý và mở reverse SOCKS5 tunnel để di chuyển ngang trong mạng nội bộ. Lưu lượng Graph API được chuyển qua một phiên Edge headless trên máy nạn nhân, khiến hoạt động khó phân biệt với lưu lượng hợp lệ.
Chuỗi tấn công ban đầu được đánh giá là social engineering qua Teams, trong đó kẻ tấn công giả mạo bộ phận IT và dụ nạn nhân chạy PowerShell command để tải về gói chứa Python runtime và payload biên dịch 39 MB. Khi phát hiện dấu hiệu xâm nhập, đội ngũ kỹ thuật nên giám sát Teams/SharePoint bất thường, kiểm tra tiến trình pythonw.exe, hạn chế quyền chạy script và tăng cường xác thực đa yếu tố cho Microsoft 365.