Ein neu entdecktes Python-Implantat zeigt, wie konsequent Angreifer legitime Cloud- und Kollaborationsdienste inzwischen in ihre Angriffsinfrastruktur integrieren. TWINLOOT nutzt SharePoint, Microsoft Graph, Teams-TURN-Relays und Edge, um Command-and-Control-Verkehr innerhalb vermeintlich vertrauenswürdiger Microsoft-Umgebungen zu verbergen. Besonders kritisch ist ein bislang nicht beobachteter Persistenzmechanismus, der ohne Administratorrechte auskommt.

Das Cyber Defense Center des Managed-XDR-Anbieters Ontinue hat im Juli 2026 ein bislang unbekanntes Python-Implantat entdeckt, das unter dem Namen TWINLOOT analysiert wird. Die Bezeichnung geht auf einen für die Command-and-Control-Kommunikation verwendeten SharePoint-Ordner zurück.

Die Besonderheit der Malware liegt weniger in einem einzelnen Exploit als in der konsequenten Nutzung legitimer Microsoft-Dienste. Statt auffällige eigene Command-and-Control-Server aufzubauen, verlagern die Angreifer zentrale Bestandteile ihrer Infrastruktur auf Microsoft 365 und Azure. Dadurch bewegt sich ein erheblicher Teil des schädlichen Datenverkehrs innerhalb von Diensten, die in vielen Unternehmensnetzwerken ohnehin regelmäßig genutzt und entsprechend weniger restriktiv behandelt werden.

SharePoint, Graph API und Teams als Angriffsinfrastruktur

TWINLOOT arbeitet mit zwei parallelen Kommunikationskanälen. Über einen SharePoint-basierten Dead Drop fragt das Implantat im Abstand von rund 15 Sekunden neue Aufgaben ab. Für interaktive Zugriffe und laterale Bewegungen steht zusätzlich ein Reverse-SOCKS5-Tunnel zur Verfügung.

Dieser Tunnel kann entweder direkt oder über WebRTC-DataChannels aufgebaut werden, wobei die Angreifer Microsoft-Teams-TURN-Server als Relays nutzen. Die Kommunikation mit Microsoft Graph wird wiederum über eine headless ausgeführte Instanz von Microsoft Edge auf dem kompromittierten System geleitet.

Aus Sicht der Erkennung ist diese Architektur problematisch: SharePoint-, Graph-, Teams- und Edge-Verbindungen gehören in vielen Unternehmen zum normalen Kommunikationsbild. Schädlicher C2-Traffic kann sich dadurch deutlich besser zwischen legitimen Benutzeraktivitäten verbergen als bei klassischen Verbindungen zu unbekannten externen Servern.

Der Fall verdeutlicht damit eine Entwicklung, die Security-Verantwortliche zunehmend berücksichtigen müssen: Vertrauenswürdige Cloud-Dienste können selbst Teil der Angriffsinfrastruktur werden. Eine reine Bewertung des Zielsystems oder der Domain-Reputation reicht dann für die Erkennung nicht mehr aus.

Vishing führt zum initialen Zugriff

Nach den Untersuchungen von Ontinue beginnt der Angriff typischerweise mit Voice Phishing, kurz Vishing. Ein Angreifer gibt sich über Microsoft Teams als Mitarbeiter des IT-Supports aus und versucht, das Opfer zur Ausführung eines PowerShell-Skripts zu bewegen.

Nach der Kompromittierung etabliert TWINLOOT seine Kommunikationskanäle und kann weitere Angriffsschritte durchführen. Zum Diebstahl von Zugangsdaten verfügt die Malware zudem über einen gefälschten Windows-Sperrbildschirm.

Dieser ist optisch so gestaltet, dass er wie der reguläre Lockscreen des Betriebssystems erscheint. Gibt das Opfer dort sein Passwort ein, wird die Eingabe von der Malware abgegriffen. Eine tatsächliche Validierung der Zugangsdaten findet dabei nicht statt.

Damit kombiniert die Angriffskette technische Tarnmechanismen mit klassischem Social Engineering. Gerade die vorangehende Kontaktaufnahme über ein etabliertes Unternehmenswerkzeug wie Teams kann die Glaubwürdigkeit eines vermeintlichen IT-Support-Mitarbeiters zusätzlich erhöhen.

Persistenz ohne Administratorrechte

Besondere Aufmerksamkeit verdient einer der insgesamt vier von Ontinue identifizierten Persistenzmechanismen.

TWINLOOT manipuliert dabei einen sogenannten Mandatory-Profile-Hive. Konkret wird eine spezielle Windows-Profildatei mit der Bezeichnung NTUSER.MAN genutzt, die das Betriebssystem beim Benutzer-Login bevorzugt lädt.

Auf diese Weise kann Schadcode beim Anmelden automatisch gestartet werden, ohne klassische Registry-Autostartmechanismen verwenden zu müssen. Nach Angaben der Analysten benötigt der Mechanismus zudem keine Administratorrechte.

Die Persistenz bleibt über Ab- und Anmeldungen sowie Neustarts hinweg bestehen. Gleichzeitig besteht die Gefahr, dass klassische Werkzeuge zur Suche nach Autostartmechanismen die Manipulation nicht erfassen.

Ontinue zufolge handelt es sich bei TWINLOOT um die erste bekannte bösartige Nutzung dieses Verfahrens. Der Befund ist deshalb auch unabhängig von der konkreten Malware relevant: Sollten weitere Akteure die Technik übernehmen, müssten bestehende Detection- und Forensikverfahren entsprechend erweitert werden.

Rund 120 verschlüsselte Module analysiert

Im Rahmen der Untersuchung identifizierte Ontinue etwa 120 mit PyArmor geschützte Module. 115 davon konnten die Analysten nach eigenen Angaben statisch entschlüsseln, ohne den Schadcode dafür ausführen zu müssen.

Dadurch ließen sich unter anderem Command-and-Control-Endpunkte, Befehlsstrukturen und Teile der zugrunde liegenden Infrastruktur rekonstruieren.

Die Vorbereitungen der Kampagne erstreckten sich offenbar über mindestens sieben Wochen. Zum Einsatz kamen unter anderem übernommene beziehungsweise abgelaufene Domains. Ein gemeinsam verwendetes TLS-Zertifikat deutet laut Analyse darauf hin, dass die Infrastruktur von einem einzelnen Operator oder einer zentral koordinierten Gruppe betrieben wurde.

Das Hosting erfolgte über ein autonomes System, das bereits zuvor mit Credential-Angriffen in Verbindung gebracht worden war.

Technische Überschneidungen bestehen nach Angaben von Ontinue mit einem der Chaos-Ransomware zugerechneten Cluster, das unter der Bezeichnung STAC4749 geführt wird. Für eine belastbare Attribution reichen die bisherigen Erkenntnisse jedoch nicht aus.

Detection muss stärker auf Verhalten statt Reputation setzen

Für Unternehmen ergibt sich aus TWINLOOT vor allem eine Konsequenz: Auch vermeintlich vertrauenswürdiger Microsoft-Traffic muss stärker kontextbezogen analysiert werden.

Ontinue empfiehlt unter anderem, Netzwerkverbindungen zu SharePoint-Tenants außerhalb der eigenen Organisation gezielt zu überwachen und externen Teams-Zugriff dort einzuschränken, wo dieser geschäftlich nicht benötigt wird.

Darüber hinaus sollten Unternehmen den Headless-Modus sowie Remote-Debugging-Funktionen in Microsoft Edge per Richtlinie deaktivieren, sofern keine legitimen Anwendungsfälle dagegen sprechen. Python-Runtimes in nutzerschreibbaren Verzeichnissen wie %APPDATA% oder %TEMP% sollten ebenfalls als potenziell verdächtig bewertet werden.

Wird der Einsatz des gefälschten Lockscreens vermutet, sollten betroffene Passwörter unmittelbar zurückgesetzt und bestehende Sitzungen sowie Tokens widerrufen werden. Zusätzlich empfiehlt sich der Einsatz phishing-resistenter Authentifizierungsverfahren wie FIDO2 oder Passkeys.

TWINLOOT zeigt damit exemplarisch, wie sich die Grenze zwischen legitimer Cloud-Nutzung und Angriffsinfrastruktur weiter auflöst. Für Security Operations Center wird es zunehmend schwieriger, allein anhand bekannter Domains, IP-Adressen oder Dienste zwischen regulärer und schädlicher Kommunikation zu unterscheiden. Entscheidend wird vielmehr die Frage, wie vertrauenswürdige Plattformen genutzt werden – und ob das beobachtete Verhalten zum jeweiligen Benutzer, Endgerät und Unternehmenskontext passt.