Microsoft 365 diventa il canale di comando di TwinLoot
Ontinue ha scoperto a luglio 2026 una campagna attiva basata su TwinLoot, un implant Python che sposta il piano di comando dentro Microsoft 365. Il punto non è solo l’evasione dei controlli: il traffico appare come attività cloud legittima mentre l’attaccante impartisce ordini, ruba credenziali e si muove lateralmente.
TwinLoot usa SharePoint Online e Microsoft Graph per i task, i relay TURN di Microsoft Teams per l’accesso interattivo e una sessione Edge della vittima per trasportare il traffico Graph. In pratica, le istruzioni viaggiano dentro servizi che molti ambienti trattano come fidati, così il perimetro di rete vede poco o nulla; l’impatto è il controllo della macchina, il furto di credenziali Windows, un pivot SOCKS5 verso la rete interna e la persistenza sull’host.
Per i SOC che si affidano soprattutto a log di rete e blocchi per dominio, la lezione è netta: in ambienti SaaS-heavy la differenza la fanno telemetria cloud e identity, non la sola ispezione del traffico perimetrale. TwinLoot mostra che fidarsi automaticamente di Teams, SharePoint o Graph come “normale” può lasciare aperta la console dell’attaccante dentro i servizi stessi.