Sicherheitsanalysten haben eine neue, hochentwickelte Schadsoftware identifiziert, die gezielt die Infrastruktur von Microsoft-Kollaborationswerkzeugen für ihre Kommunikation missbraucht. Das im Juli 2026 entdeckte Python-Implantat, das unter dem Namen TWINLOOT geführt wird, nutzt Microsoft SharePoint und Teams als Command-and-Control-Infrastruktur (C2).
Aktuelle Analysen des IT-Sicherheitsdienstleisters Ontinue und weitere Fachberichte verdeutlichen die Komplexität dieser Bedrohung, die herkömmliche Sicherheitsmechanismen gezielt umgeht.
Verdeckte Kommunikation über legitime Kanäle
Der Kern der TWINLOOT-Operation liegt in der Nutzung von SharePoint Online als sogenannten Dead-Drop-Punkt. Dabei nutzt die Schadsoftware die Microsoft Graph API, um Befehle abzurufen und Daten hochzuladen. Die Kommunikation erfolgt dabei in einem festen Rhythmus: Das Implantat führt alle 15 Sekunden ein Polling durch, um neue Instruktionen zu empfangen.
Ein technisches Novum stellt der Einsatz der Microsoft-Teams-Infrastruktur für den Datenverkehr dar. Den Untersuchungen zufolge nutzt TWINLOOT Teams-TURN-Relays für die C2-Kommunikation. Dies gilt als der erste bestätigte Fall, in dem WebRTC-Datenkanäle innerhalb der Teams-Infrastruktur für bösartige Zwecke instrumentalisiert wurden. Um diesen Datenverkehr noch unauffälliger zu gestalten, setzt das Implantat auf einen headless Edge-Browser, der den Graph-API-Traffic steuerbetreibt.
Initialer Zugriff und laterale Bewegung im Netzwerk
Der Erstkontakt erfolgt laut den vorliegenden Analysen zumeist über Social Engineering direkt innerhalb von Microsoft Teams. Angreifer verleiten Nutzer dazu, eine Datei namens „bootstrap-fat.pyc“ herunterzuladen, die mit 39MB eine ungewöhnliche Größe aufweist. Nach der Ausführung durch einen PowerShell-Download initiiert die Schadsoftware weitere Spionageaktivitäten.
Da Angreifer zunehmend auf psychologische Manipulation in Kollaborations-Tools setzen, ist eine proaktive Absicherung für Unternehmen unerlässlich. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security E-Book jetzt kostenlos herunterladen
Unter anderem setzt TWINLOOT einen gefälschten Sperrbildschirm (Fake-Lock-Screen) ein, um Passwörter der betroffenen Anwender abzugreifen. Sobald die Kontrolle über ein System etabliert ist, ermöglicht das Tool einen SOCKS5-Pivot. Dies erlaubt es den Hintermännern, auf interne Netzwerk-Ports zuzugreifen, darunter Port 445 für SMB, Port 3389 für RDP, Port 5985 für WinRM sowie Port 1433 für MSSQL-Datenbankverbindungen.
Innovative Persistenz-Methoden ohne Admin-Rechte
Besondere Aufmerksamkeit widmen Sicherheitsforscher den Techniken, mit denen sich TWINLOOT dauerhaft auf infizierten Systemen festsetzt. Hierbei wird erstmals der Einsatz des NTUSER.MAN-Hive zur Persistenz in freier Wildbahn beobachtet, wobei keine Administratorrechte erforderlich sind. Ergänzend nutzt die Schadsoftware Methoden wie TypeLib-Hijacking und die Manipulation des TaskCache, um nach Systemneustarts aktiv zu bleiben.
Immer mehr Unternehmen werden Opfer von gezielten Cyberangriffen durch täuschend echte Kommunikation – eine gezielte Sensibilisierung hilft, dies zu verhindern. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam schützen kann. Anti-Phishing-Paket zur Hacker-Abwehr sichern
Ein wesentliches Problem für die Verteidigung besteht darin, dass die Angreifer eigene Azure-Tenants für die Steuerung verwenden. Da der bösartige Datenverkehr über die Infrastruktur der Angreifer läuft, tauchen in den Entra-ID-Logs (früher Azure AD) der Opfer keine verdächtigen Einträge auf.
Da die Malware zudem ausschließlich legitime Funktionen der Microsoft-Dienste missbraucht, existiert derzeit keine spezifische Sicherheitslücke (CVE) und somit auch kein klassischer Patch, der den Angriff unterbinden könnte.
Erkennung und Abwehr
Obwohl die Malware Ähnlichkeiten zu der Bedrohungsgruppe STAC4749 aufweist, unterscheidet sich der zugrundeliegende Code laut Analysten deutlich. Experten empfehlen Unternehmen, ihre Überwachung auf spezifische Anomalien auszurichten. Dazu gehören die Identifizierung von Instanzen des headless Edge-Browsers, die zusammen mit Entwicklerwerkzeugen (DevTools) gestartet werden, sowie ungewöhnliche Aufrufe der Graph API durch Prozesse wie pythonw.exe.
Zudem sollte auf die charakteristischen 15-Sekunden-Polling-Intervalle und die Existenz von NTUSER.MAN-Dateien geachtet werden. Eine verstärkte Überwachung von OAuth-Verbindungen und anomales Verhalten innerhalb von SharePoint und Teams ist laut den Sicherheitsforschern essenziell, um Infektionen frühzeitig zu erkennen.
Entsprechende Mapping-Daten nach dem MITRE-ATT&CK-Framework wurden bereits zur Verfügung gestellt, um Sicherheitsverantwortlichen die Einordnung der Bedrohung zu erleichtern.
