TWINLOOT utilise SharePoint, Teams, Azure et le propre navigateur Edge de la victime pour masquer le trafic de commande et de contrôle au sein d’une infrastructure Microsoft fiable.
Les chercheurs en sécurité mettent en garde contre un framework de malware Python récemment découvert qui achemine une grande partie de son activité de commande et de contrôle (C2) via les services Microsoft que les défenseurs s’attendent déjà à voir.
L’Ontinue Cyber Defense Center a découvert l’implant lors d’une enquête sur une campagne active en juillet et l’a depuis suivi sous le nom de TWINLOOT. Il a été vu utiliser SharePoint Online comme un point mort basé sur des fichiers, l’infrastructure TURN de Microsoft Teams pour les communications interactives et une instance sans tête du propre navigateur Edge de la victime pour envoyer des requêtes API Microsoft Graph.
« TWINLOOT fonctionne parce que les défenseurs ont été formés pour traiter le trafic Microsoft comme sûr par défaut, et ce malware a été conçu pour en tirer pleinement parti », a déclaré Shane Barney, responsable de la sécurité des informations chez Keeper Security. « Il n’y a aucun domaine appartenant à un attaquant dans la chaîne, ce qui signifie que le trafic ressemble exactement à ce à quoi il est censé ressembler, et la plupart des outils de détection le laisseront tranquille. »
Les logiciels malveillants vivent à l’intérieur de la limite de confiance
L’architecture de TWINLOOT sépare les tâches de routine de l’accès « interactif ». Son canal SharePoint interroge un lecteur toutes les 15 secondes environ pour les commandes, renvoie les résultats et exfiltre les informations d’identification volées et les données de reconnaissance.
Selon Ontinue, l’implant s’authentifie auprès d’un locataire Azure contrôlé par un attaquant plutôt que auprès de l’environnement Microsoft 365 de la victime, ne produisant aucun événement d’authentification ou d’audit dans les journaux Entra ID de la victime.
Pour un accès interactif, le malware peut établir un tunnel SOCKS5 inversé et l’acheminer via l’infrastructure Teams TURN de Microsoft. L’opérateur peut ensuite utiliser le point de terminaison compromis pour accéder au réseau interne, les connexions à des services tels que SMB, RDP et WinRM semblant provenir de la machine victime.
TWINLOOT n’est que le deuxième cas observé d’abus de Teams TURN dans la nature, et Ontinue affirme que c’est le premier à utiliser de véritables canaux de données WebRTC pour cette technique.
Le chemin est différent du transport Edge. L’implant lance Microsoft Edge en mode sans tête, se connecte via le protocole Chrome DevTools et émet des appels d’API Graph en tant que requêtes « same-origin fetch () » depuis le navigateur. D’après la télémétrie réseau, cela ressemble à un processus Edge légitime communiquant avec Microsoft, ont déclaré les chercheurs.
Commentant les complications de détection, ajoute TWINLOOT, Robert Coles, responsable principal de la sécurité des renseignements sur les menaces chez Black Duck, a déclaré : « Les attaquants se cachent de plus en plus dans des services cloud fiables plutôt que d’utiliser une infrastructure contrôlée par les attaquants. » Il a recommandé de se concentrer sur la détection comportementale, la surveillance des identités et la détection des anomalies, y compris les activités inhabituelles de l’API Graph, les applications OAuth et l’octroi de consentements, ainsi que les comportements anormaux de SharePoint et Teams.
Voler les informations d’identification et persister sans droits d’administrateur
Sur commande, TWINLOOT affiche un écran de verrouillage Windows 10 ou Windows 11 rempli avec les informations du compte réel de la victime. Il ne valide jamais le mot de passe. Au lieu de cela, chaque tentative de mot de passe est capturée, chiffrée et envoyée au canal SharePoint C2. La victime reçoit un message de mot de passe incorrect d’apparence normale avant de finalement authentifier la connexion.
Les informations d’identification volées peuvent permettre un mouvement latéral à travers le tunnel SOCKS inversé, permettant potentiellement un accès RDP, SMB ou WinRM à d’autres systèmes.
L’implant contient également une technique de persistance qu’Ontinue appelle « Corrompre l’esprit de la ruche ». Il crée une ruche à profil obligatoire Windows « NTUSER.MAN » hors ligne, ne nécessitant aucun privilège d’administrateur et ne générant aucun événement de modification du registre.
C’est la première fois que cette technique est utilisée dans la nature, a déclaré Ontinue. Il a été conseillé aux défenseurs de se concentrer sur les activités anormales de SharePoint, Teams et Graph plutôt que sur les seules signatures de logiciels malveillants. Ontinue a également recommandé de désactiver le mode sans tête Edge, de surveiller les activités Python inhabituelles, de réinitialiser les informations d’identification exposées et d’utiliser une authentification résistante au phishing.
