V srpnu 2026 zveřejnila společnost Ontinue podrobnou analýzu nového a nebezpečně sofistikovaného TWINLOOT malware. Tento modulární Python implantát posouvá koncept „living off the land“ (a přesněji „living off the cloud“) na zcela novou úroveň. Celá jeho command-and-control infrastruktura běží uvnitř důvěryhodných služeb Microsoft 365 a Azure. Obránci proto vidí pouze legitimní provoz směrem k Microsoftu.
TWINLOOT malware představuje jeden z nejzajímavějších případů zneužití cloudových služeb v posledních letech. Útočníci kombinují SharePoint Online jako dead-drop, Microsoft Teams TURN servery pro interaktivní přístup a headless Edge prohlížeč oběti pro Graph API komunikaci. Výsledek? Provoz, který vypadá naprosto normálně.
Jak TWINLOOT malware funguje – kompletní attack chain
Počáteční přístup k TWINLOOT malware je klasický, ale velmi účinný. Útočník se přes Microsoft Teams vydává za IT support a přesvědčí zaměstnance, aby spustil PowerShell příkaz. Ten stáhne archiv obsahující:
- legitimní, digitálně podepsaný Python 3.12.9 embeddable runtime,
- 39MB loader bootstrap-fat.pyc.
Loader se spustí přes pythonw.exe (bez viditelné konzole), rozbalí PyArmor 9.2.5 Pro chráněné moduly a předá řízení hlavnímu implantátu.
TWINLOOT malware pak spustí dva paralelní C2 kanály:
- SharePoint dead-drop (tasking a exfiltrace)
Implantát se autentizuje přímo k Azure tenantovi útočníka (ne k tenantovi oběti). Každých přibližně 15 sekund polluje SharePoint drive přes Microsoft Graph API. Příkazy, výsledky a ukradená data putují jako soubory. V logách Entra ID oběti se přitom neobjeví žádné autentizační události. - Reverse SOCKS5 tunnel (interaktivní přístup a lateral movement)
Operátor získá SOCKS5 listener na své straně. Spojení může jít buď přímo přes TLS/WebSocket, nebo – a to je klíčové – přes Microsoft Teams TURN servery pomocí WebRTC DataChannels. Vnitřní síť pak vidí spojení vycházející z pythonw.exe oběti na porty jako 445 (SMB), 3389 (RDP), 5985 (WinRM) nebo 1433 (MSSQL).
Headless Edge – trik, který obchází detekci procesů
Jednou z nejchytřejších částí TWINLOOT malware je způsob, jakým komunikuje s Graph API. Místo přímých requestů z Python procesu spustí headless instanci Microsoft Edge, připojí se přes Chrome DevTools Protocol a všechny Graph API volání provádí jako fetch() requesty přímo z kontextu prohlížeče. Síťový provoz proto vypadá, že pochází z msedge.exe.
Krádež hesel a persistence
TWINLOOT malware umí zobrazit pixelově věrnou falešnou Windows lock screen (Tkinter + HTML fallback). Heslo se nevaliduje – vždy se zobrazí chybová hláška a uživatel je nucen zadat ho znovu. Ukradená hesla se šifrují a odesílají přes SharePoint kanál. Následně je operátor použije pro lateral movement přes SOCKS5 tunnel.
Persistence nabízí čtyři metody. Nejpozoruhodnější je forging mandatory profile hive (NTUSER.MAN) pomocí RegLoadAppKeyW a offreg.dll. Tato technika (označovaná jako „Corrupting the Hive Mind“) funguje bez administrátorských práv a byla v divoké přírodě zaznamenána vůbec poprvé.
Proč je TWINLOOT malware tak nebezpečný
Hlavní problém spočívá v tom, že většina detekčních systémů považuje provoz směrem k Microsoft službám za bezpečný. TWINLOOT malware tuto důvěru systematicky zneužívá. Všechny primární C2 kanály končí v IP rozsahu Microsoftu. Klasické blokování domén nebo IP adres je proto neúčinné.
Ontinue uvádí, že se jedná o první známý framework, který v jednom implantátu kombinuje:
- Microsoft 365 dead-drop C2,
- zneužití Teams TURN relay,
- headless browser transport.
Detekce a doporučená opatření proti TWINLOOT malware
Přestože provoz vypadá legitimně, detekční mezery stále existují:
- Monitorujte přístup k neznámým SharePoint tenantům z managed endpointů.
- Alertujte na spuštění Edge s headless a remote-debugging parametry.
- Sledujte pythonw.exe / python.exe spouštěné z netypických cest (C:\ProgramData\, %APPDATA% apod.).
- Hledejte pythonw.exe spojující se na interní administrativní porty.
- Omezte externí přístup do Teams, pokud není nezbytný.
- Nasazujte phishing-resistant autentizaci (passkeys, FIDO2).
- Zvažte zakázání headless módu Edge na běžných pracovních stanicích.
IOCs TWINLOOT malware
SHA-256 hashe
- bootstrap-fat.pyc: 2f1aa13fbdd8f5cdfe0838ecd4801a5881239ea096dd80f0af6ad1990c11418e
- Embedded vendor ZIP: dc12b303b6374e0e1e1b2583d5e60e7d1e6e5207e6254627c7069b3049198f82
- pyarmor_runtime.pyd: 0ca8367e52c0c64bd75b994a4dfe4b29a1d2eb1307932c91b50576b1e19d6fd9
Domény a IP
- sharepointx.th2ch[.]com
- lpi-web[.]com
- 193.24.211[.]221
- kerteransens.sharepoint[.]com (složka /TwinLoot)
- 034e10fbc291f2ce.blob.core.windows[.]net
Azure
- App (client) ID: 90d19ef9-23e6-4152-bb82-d46d16615796
- Tenant ID: d5e50217-99da-403d-a317-5bbce8855475
Závěr
TWINLOOT malware ukazuje, jak rychle se výzkum z bezpečnostních konferencí (např. TURNt / Ghost Calls) dostává do reálných útoků. Gap mezi publikací techniky a jejím operačním použitím se zkrátil na týdny. Organizace, které spoléhají pouze na reputaci domén a „Microsoft = bezpečný“, jsou proti tomuto typu hrozeb prakticky slepé.
Klíčem k obraně je behavioral detection, korelace identity + endpoint + cloud telemetrie a důkladné monitorování neobvyklé aktivity v Microsoft 365 službách.
Zdroje
https://www.ontinue.com/resource/python-implant-hiding-its-entire-c2-inside-microsoft-365-azure/
https://raw.githubusercontent.com/ontinue-research/threat-intel-iocs/main/Public/2026-07-27-TWINLOOT-IOCs.md
https://thehackernews.com/2026/08/twinloot-abuses-sharepoint-and-teams-to.html
https://www.darkreading.com/cloud-security/silent-twinloot-threat-operates-microsoft-cloud
https://www.csoonline.com/article/4210973/new-malware-turns-microsoft-cloud-into-its-control-center.html
