Minacce · 56 giorni fa
Ontinue ha scoperto a luglio 2026 una campagna attiva basata su TwinLoot, un implant Python che sposta il piano di comando dentro Microsoft 365. Il punto non è solo l’evasione dei controlli: il traffico appare come attività cloud legittima mentre l’attaccante impartisce ordini, ruba credenziali e si muove lateralmente.
TwinLoot usa SharePoint Online e Microsoft Graph per i task, i relay TURN di Microsoft Teams per l’accesso interattivo e una sessione Edge della vittima per trasportare il traffico Graph. In pratica, le istruzioni viaggiano dentro servizi che molti ambienti trattano come fidati, così il perimetro di rete vede poco o nulla; l’impatto è il controllo della macchina, il furto di credenziali Windows, un pivot SOCKS5 verso la rete interna e la persistenza sull’host.
Per i SOC che si affidano soprattutto a log di rete e blocchi per dominio, la lezione è netta: in ambienti SaaS-heavy la differenza la fanno telemetria cloud e identity, non la sola ispezione del traffico perimetrale. TwinLoot mostra che fidarsi automaticamente di Teams, SharePoint o Graph come “normale” può lasciare aperta la console dell’attaccante dentro i servizi stessi.
2 fonti che coprono questa storia
TWINLOOT Abuses SharePoint and Teams to Steal Credentials and Move Across Networks
TWINLOOT uses SharePoint, Teams TURN, and headless Edge for C2, steals Windows credentials, and opens SOCKS5 access into victim networks.
'TwinLoot' Cyber Threat Operates Entirely From Microsoft's Cloud
The Python malware framework takes living-off-the-land tactics to a new heights of stealth, with a modular, persistent implant that steals credentials.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-08-18