TWINLOOT: Neue Python-Malware missbraucht Microsoft Cloud
Veröffentlicht am: 19.08.2026 um 17:33 Uhr | Redaktion boerse-global.de
Sicherheitsexperten des Unternehmens Ontinue haben ein neuartiges, Python-basiertes Implantat identifiziert, das unter der Bezeichnung TWINLOOT geführt wird. Die Schadsoftware nutzt systematisch legitime Cloud-Dienste von Microsoft, um die Kommunikation zwischen infizierten Systemen und den Servern der Angreifer (Command-and-Control, C2) zu verschleiern.
Die Entdeckung, die auf Analysen im Juli zurückgeht, verdeutlicht die zunehmende Komplexität von Angriffen, die ohne die Ausnutzung klassischer Software-Sicherheitslücken auskommen.
Mechanismen der verdeckten Kommunikation
Nach Erkenntnissen der Forscher zeichnet sich TWINLOOT durch einen vielschichtigen Ansatz bei der C2-Kommunikation aus. Das Implantat verwendet unter anderem SharePoint-Speicherplätze als sogenannte Dead-Drops. Dabei greift die Malware über die Microsoft Graph API auf SharePoint zu, wobei die Abfragen in einem regelmäßigen Intervall von 15 Sekunden erfolgen.
Zusätzlich missbraucht die Software Teams-TURN-Relays sowie einen im Hintergrund operierenden Edge-Browser (headless), um den schädlichen Datenverkehr als gewöhnlichen Netzwerkverkehr zu tarnen.
Da Angriffe wie TWINLOOT gezielt neue KI-Technologien und Cloud-Dienste missbrauchen, stehen Unternehmen vor völlig neuen Herausforderungen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Gratis-Report zu neuen Cyberrisiken herunterladen
Besonders hervorzuheben ist dabei die erstmalige Bestätigung einer Nutzung von WebRTC-Datenkanälen innerhalb von Teams-TURN-Relays für bösartige Zwecke. Der initiale Zugriff auf Zielsysteme erfolgt den Berichten zufolge primär durch Social-Engineering-Methoden innerhalb der Kommunikationsplattform Microsoft Teams.
Innovative Persistenz ohne Administratorrechte
Um dauerhaft auf den kompromittierten Systemen verbleiben zu können, setzt TWINLOOT eine Technik ein, die als „Corrupting the Hive Mind“ bezeichnet wird. Diese Methode wurde laut den Experten erstmals in einem realen Angriffsszenario beobachtet.
Ein wesentlicher Vorteil für die Akteure hinter der Malware besteht darin, dass für diese Form der Persistenz keine Administratorrechte auf dem betroffenen System erforderlich sind. Technisch manipuliert die Schadsoftware hierfür spezifische Systemkomponenten wie NTUSER.MAN, TypeLib und den TaskCache.
Das Implantat selbst ist modular aufgebaut und durch PyArmor gegen Analysen geschützt. Sobald ein System infiziert ist, versucht TWINLOOT, Anmeldedaten der Nutzer über eine manipulierte Sperrbildschirm-Oberfläche abzugreifen. Darüber hinaus ermöglicht die Malware eine laterale Bewegung innerhalb des betroffenen Netzwerks. Über einen Reverse-SOCKS5-Pivot können die Angreifer auf Dienste wie SMB, RDP, WinRM und MSSQL-Datenbanken zugreifen.
Der Fall zeigt deutlich, wie Hacker gezielt menschliche Schwachstellen ausnutzen, um in geschlossene Systeme einzudringen. Ein neuer Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen – und wie man sie effektiv entlarvt. Kostenloses Anti-Phishing-Paket jetzt sichern
Herausforderungen bei der Erkennung
Ein markantes Merkmal von TWINLOOT ist, dass die Angreifer auf die Ausnutzung bekannter Schwachstellen mit spezifischer CVE-Kennung verzichten. Stattdessen basiert der Angriff auf der Manipulation legitimer Funktionen und Identitäten innerhalb der Microsoft-Umgebung. Dies erhöht den Druck auf IT-Sicherheitsverantwortliche, ihre Identitätstelemetrie und Cloud-Audit-Logs innerhalb von Microsoft 365 intensiver zu überwachen.
Sicherheitsanalysten raten dazu, die Erkennungsstrategien auf Abweichungen von etablierten Basiswerten zu fokussieren. Verdächtige Aktivitäten wie die Ausführung von headless Edge-Prozessen, der Einsatz von pythonw.exe oder ungewöhnliche Änderungen an der Datei NTUSER.MAN könnten Hinweise auf eine Intention liefern.
Die Entdeckung unterstreicht die Notwendigkeit, Identitätsschutz und Cloud-Sicherheit als zentrale Säulen der Verteidigung gegen moderne Bedrohungsakteure zu betrachten.
