ONTINUE THREAT SPOTLIGHT: TWINLOOT
TWINLOOT: So nutzen Hacker aktuell Microsoft-Dienste aus
Zürich, 1. September 2026 – In der Welt der Cybersicherheit gilt: Die nächste Attacke kommt bestimmt. Um deren Impact möglichst gering zu halten, bespricht Ontinue im Threat Spotlight regelmäßig aktuelle Bedrohungen. Diesmal im Fokus des führenden Experten für Managed Extended Detection and Response (MXDR): TWINLOOT.
Das Ontinue Cyber Defense Center hat im Juli 2026 ein bislang unbekanntes Python-Implantat namens TWINLOOT entdeckt. Benannt ist es nach seinem SharePoint-C2-Ordner. Das Besondere an TWINLOOT ist, dass es seine komplette Command-and-Control-Infrastruktur innerhalb vertrauenswürdiger Microsoft-365- und Azure-Dienste betreibt. Das Tasking läuft über SharePoint und das Graph API und der interaktive Zugriff über Teams-TURN-Relays. Der gesamte Graph-Traffic wird hingegen durch eine headless-Instanz des Edge-Browsers von Opfern geleitet. Dadurch ist der C2-Verkehr kaum von legitimer Nutzeraktivität zu unterscheiden.
TWINLOOT: So funktioniert der Exploit
Der Erstzugriff erfolgt in der Regel über Vishing. Dabei gibt sich ein Angreifer in Teams als IT-Support aus und bringt sein Opfer dazu, ein PowerShell-Skript auszuführen. TWINLOOT nutzt danach zwei parallele Kanäle vom Host des Opfers, die beide einen anderen Zweck erfüllen. Der erste ist ein SharePoint-Dead-Drop für das Tasking mit einer Abfrage alle 15 Sekunden. Der zweite ist ein Reverse-SOCKS5-Tunnel für interaktiven Zugriff und laterale Bewegung, der entweder direkt oder über WebRTC-DataChannels via Teams-TURN-Server läuft. Um dann schließlich die wertvollen Zugangsdaten des Opfers zu stehlen, zeigt das Implantat einen pixelgenau gefälschten Windows-Sperrbildschirm, der jede Passworteingabe abgreift, ohne sie zu validieren.
Von vier Persistenzmechanismen ist besonders das Forging eines mandatory-profile-Hive bemerkenswert. Angreifer können sich auf diese Weise ohne Administratorrechte dauerhaft auf einem Windows-System festsetzen. Praktisch manipulieren Hacker dabei eine spezielle Profildatei (NTUSER.MAN), die Windows beim Anmelden eines Benutzers bevorzugt lädt. So kann er Schadsoftware automatisch starten, ohne die Windows-Registry direkt zu verändern. Das macht die Methode besonders unauffällig. Sie übersteht somit An- und Abmeldungen sowie Neustarts und wird von herkömmlichen Werkzeugen zur Erkennung von Autostart-Mechanismen möglicherweise nicht erkannt. Die Ausnutzung im Kontext von TWINLOOT ist die erste bekannte bösartige Verwendung dieser Schwachstelle.
Was Unternehmen gegen TWINLOOT tun können
Ontinue konnte 115 von rund 120 PyArmor-verschlüsselten Modulen statisch entschlüsseln, ohne die Malware auszuführen. Auf diese Weise erhielt das Cyber Defense Center vollen Einblick in C2-Endpunkte, Befehlssatz und Infrastruktur. Diese wurde über sieben Wochen gezielt vorbereitet: gekaperte, abgelaufene Domains, ein gemeinsames TLS-Zertifikat als Beleg für einen einzelnen Operator sowie Hosting über eine für Credential-Angriffe bekannte ASN. Es gibt technische Überschneidungen mit der Chaos-Ransomware-Gruppe (Cluster STAC4749), jedoch keine eindeutige Zuordnung. Folgende Präventivmaßnahmen sind sinnvoll:
- Netzwerktelemetrie auf Verbindungen zu SharePoint-Tenants außerhalb der eigenen Organisation überwachen
- Externen Teams-Zugriff einschränken, wo nicht benötigt
- Headless-Modus und Remote-Debugging in Microsoft Edge per Policy deaktivieren
- Python-Runtimes in nutzerschreibbaren Verzeichnissen (%APPDATA%, %TEMP% und so weiter) als verdächtig behandeln
- Bei Verdacht auf den Fake-Lockscreen: Passwörter zurücksetzen und Sitzungen/Tokens widerrufen
- Phishing-resistente Authentifizierung wie FIDO2 oder Passkeys einführen
Eine ausführliche Analyse von TWINLOOT gibt es im aktuellen Blog-Beitrag von Ontinue.