Ontinue entdeckte TwinLoot bei der Untersuchung einer laufenden Kampagne im Juli. Den Forschern gelang es nach eigenen Angaben, die Module der Malware unter dem Schutz von PyArmor 9.2.5 zu bergen und die eingebettete Konfiguration zu entschlüsseln. Zwar seien die meisten einzelnen LOTL-Techniken, die TwinLoot einsetzt, für sich genommen nicht neu; ihre Kombination in einem einzigen Implantat sei jedoch bislang nicht beobachtet worden. Ontinue zufolge ist TwinLoot das erste Framework, das Microsoft-365-Dead-Drop-C2, den Missbrauch von Teams-TURN-Relays und Browser-Transport in einem System vereint.

Die Architektur ist darauf ausgelegt, schädliche Aktivitäten als gewöhnlichen Cloud-Verkehr erscheinen zu lassen. Jason Soroko, Senior Fellow bei Sectigo, sagt, TwinLoot zeige, wie sich eine Cloud-Produktivitätssuite in die Steuerungsebene eines Angreifers verwandeln lasse. Dadurch würden Schutzmechanismen geschwächt, die auf Domain-Reputation, IP-Sperren, Prozessnamen oder der Annahme beruhen, dass Microsoft-365-Verkehr grundsätzlich autorisierte Benutzeraktivität darstelle.

Laut Bericht deutet die Ausführung auf professionelle Arbeit hin oder zumindest auf jemanden, der sowohl offensive Angriffstechniken als auch Microsofts Cloud-Architektur gut verstand. Der Entwickler habe zwei abgelaufene Domains Wochen im Voraus vorbereitet, eine eigens dafür bestimmte Azure-AD-Anwendung registriert, eine SharePoint-Site als Dead-Drop aufgebaut und ein modernes Konferenzwerkzeug in ein produktives Python-Implantat portiert — und das innerhalb von sieben Wochen. Das Ergebnis ist laut Ontinue ein interaktiver SOCKS5-Proxy, der aus dem Prozess des Opfers heraus in dessen internes Netzwerk austritt und so einen kompromittierten Endpunkt zum Ausgangspunkt für laterale Bewegungen macht.

Besonders hervor hebt der Bericht zwei Komponenten: das Abgreifen von Zugangsdaten und die Persistenz. Das Credential-Harvesting-Modul blendet auf einem kompromittierten System einen gefälschten Windows-Sperrbildschirm ein, der den Nutzer im Stil einer Phishing-Anfrage zur Eingabe seiner Windows-Anmeldedaten auffordert. Die Aufforderung wirke wie eine normale Authentifizierungsabfrage. Shane Barney, CISO bei Keeper Security, sagt, jeder Anmeldeversuch werde erfasst, unabhängig davon, ob er erfolgreich sei. Das Opfer habe keinen Hinweis darauf, dass etwas nicht stimmt, sehe eine übliche Meldung zu einem falschen Passwort, versuche es erneut und melde sich schließlich normal an.

Auch die Persistenztechnik „Corrupting the Hive Mind“ arbeite laut Barney ebenso unauffällig. Dabei werde offline ein Mandatory-Profile-Hive unter Verwendung legitimer Windows-APIs erzeugt, ohne Ereignisse zur Registry-Änderung und ohne Privilegienerweiterung. Genau deshalb, so Barney, werde diese Methode von gängiger Erkennungslogik nicht sichtbar gemacht. Ontinue bezeichnet sie als den ersten dokumentierten bösartigen Einsatz dieses Verfahrens in freier Wildbahn.

Für Verteidiger liegt die Herausforderung nach Einschätzung der zitierten Experten darin, dass sich der Angreiferverkehr kaum von normaler Benutzeraktivität unterscheiden lässt. Barney empfiehlt daher, Verkehrstrends je Dienst zu kartieren und Abweichungen vom Normalzustand pro Konto zu erkennen, das mit SharePoint, Teams und Graph-API-Integrationen arbeitet. Robert Coles, Senior Manager of Threat Intelligence Security bei Black Duck, rät zusätzlich dazu, ungewöhnliche Microsoft-Graph-API-Aktivitäten zu überwachen, OAuth-Anwendungen und Einwilligungsfreigaben zu prüfen, auffällige SharePoint- und Teams-Aktivitäten zu untersuchen, Browser-Automatisierung und den Missbrauch legitimer Prozesse zu erkennen sowie Identitäts-, Endpunkt- und Cloud-Telemetrie zu korrelieren. Zudem sollten Sicherheitsteams laut Coles in Verhaltensanalysen und UEBA-Fähigkeiten investieren und Erkennungslogik über klassische Indikatoren wie Registry-Änderungen oder administrative Aktionen hinaus erweitern.