TwinLoot abusa di Teams e SharePoint, Microsoft corregge Search e rimuove WMIC

🛡️ Executive Summary

• TwinLoot usa Teams, SharePoint Online, Graph API ed Edge headless per nascondere C2, esfiltrazione e movimento laterale dentro servizi Microsoft legittimi.
• Un deployment Microsoft causa problemi di ricerca in Outlook, SharePoint Online e OneDrive; una correzione è già stata distribuita sull’infrastruttura coinvolta.
• Microsoft elimina WMIC dalle nuove build Beta di Windows 11 e spinge amministratori e script verso PowerShell e interfacce WMI supportate.

Microsoft 365 diventa contemporaneamente infrastruttura utilizzata dagli attaccanti, servizio da ripristinare e piattaforma da alleggerire di componenti legacy sfruttabili. TwinLoot, nuovo framework Python scoperto da Ontinue, nasconde praticamente tutto il proprio comando e controllo dentro SharePoint Online, Microsoft Graph, Teams TURN ed Edge, arrivando a rubare password e aprire tunnel SOCKS5 verso la rete interna. Microsoft sta inoltre mitigando un incidente che compromette la ricerca in Outlook, SharePoint Online e OneDrive, mentre le nuove build Beta di Windows 11 eliminano definitivamente WMIC, storico strumento amministrativo utilizzato da anni anche come LOLBin da malware e ransomware.

TwinLoot porta tutto il C2 dentro i servizi Microsoft

Il report tecnico di Ontinue descrive TwinLoot come un framework Python modulare protetto con PyArmor 9.2.5, individuato durante una campagna attiva nel luglio 2026. L’accesso iniziale avviene attraverso social engineering su Microsoft Teams: un attore esterno si presenta come supporto IT e convince la vittima a eseguire un comando PowerShell che scarica un runtime Python 3.12.9 e il loader bootstrap-fat.pyc.

Da quel momento l’impianto costruisce due canali paralleli. Il primo utilizza SharePoint Online come dead drop, autenticandosi verso un tenant Azure controllato dall’attaccante e interrogando ogni 15 secondi una directory attraverso Microsoft Graph per ricevere comandi ed esfiltrare risultati. Il secondo crea un reverse SOCKS5 utilizzabile per RDP, SMB, WinRM, MSSQL e altri servizi interni. La logica riprende l’evoluzione già osservata quando Teams è stato utilizzato come vettore iniziale nelle campagne collegate a Chaos, ma TwinLoot sposta dentro l’ecosistema Microsoft anche buona parte della propria infrastruttura C2.

Teams TURN ed Edge rendono il traffico difficile da distinguere

La componente più sofisticata riguarda l’abuso dell’infrastruttura legittima. TwinLoot può instradare il traffico del tunnel attraverso WebRTC DataChannels e i server TURN di Microsoft Teams, facendo apparire all’esterno una connessione TLS verso un normale relay Microsoft. Per le operazioni Graph il malware non comunica direttamente da python.exe: avvia Microsoft Edge in modalità headless, lo controlla attraverso Chrome DevTools Protocol e utilizza una pagina caricata su graph.microsoft.com per eseguire le richieste.

Dal punto di vista della telemetria di rete è quindi realmente msedge.exe a dialogare con Microsoft Graph. Ontinue considera TwinLoot il primo framework osservato che combina Microsoft 365 dead-drop C2, Teams TURN e browser headless nella stessa architettura. La convergenza con msaRAT del gruppo Chaos, che utilizza browser headless, WebRTC e relay TURN di Twilio, mostra come attori differenti stiano arrivando indipendentemente allo stesso risultato: trasferire il traffico offensivo dentro infrastrutture cloud che un’organizzazione normalmente non può bloccare in maniera indiscriminata.

Una falsa lock screen ruba la password per il movimento laterale

TwinLoot non si limita a usare il cloud come proxy. Su comando dell’operatore costruisce una falsa schermata di blocco Windows quasi identica a quella reale, recuperando nome dell’utente, immagine dell’account e sfondo dal sistema compromesso. La password inserita non viene mai verificata: il malware mostra comunque un primo errore, inducendo la vittima a digitarla nuovamente, quindi cifra entrambi i tentativi e li carica nel dead drop SharePoint.

Le credenziali possono essere immediatamente riutilizzate attraverso il tunnel SOCKS5 per spostarsi verso altri host con RDP, WinRM o SMB. Ontinue ha inoltre osservato il primo uso malevolo conosciuto in the wild della tecnica “Corrupting the Hive Mind”, che crea offline un file NTUSER.MAN contenente le impostazioni di persistenza senza richiedere privilegi amministrativi e senza produrre i normali eventi di modifica del registro.

L’attore non è stato attribuito: esistono somiglianze operative con STAC4749, ma Ontinue afferma di non disporre di elementi sufficienti per collegare direttamente i due cluster. Per la difesa vengono raccomandati il controllo degli accessi a tenant SharePoint esterni, la limitazione delle comunicazioni Teams con utenti esterni e la disabilitazione di headless mode e remote debugging di Edge dove non necessari.

Microsoft 365 Search rallenta dopo un deployment

Nelle stesse ore Microsoft sta affrontando un problema completamente diverso all’interno della propria infrastruttura. L’incidente MO1456424 interessa alcuni utenti che tentano di effettuare ricerche attraverso SharePoint Online, OneDrive, Outlook sul Web e Outlook desktop. Microsoft ha ricondotto il problema a un deployment recente che ha introdotto un’inefficienza nell’utilizzo delle risorse dell’infrastruttura coinvolta. L’azienda ha già sviluppato e distribuito una correzione destinata a ridurre la pressione sui sistemi e ripristinare il servizio, senza specificare pubblicamente le regioni interessate. L’episodio segue il lungo outage GitHub appena risolto e si inserisce quindi nella stessa settimana in cui Microsoft ha dovuto gestire contemporaneamente indisponibilità GitHub, ShieldBreak e nuovi aggiornamenti Windows. Non ci sono elementi che colleghino il problema Search a TwinLoot: nel primo caso si tratta di un incidente operativo Microsoft, nel secondo di un framework offensivo che sfrutta servizi cloud funzionanti proprio per mimetizzare le comunicazioni.

Windows 11 rimuove WMIC anche dalle nuove build Beta

Microsoft procede infine con la rimozione di Windows Management Instrumentation Command-line, WMIC, componente ormai legacy che per anni ha rappresentato sia uno strumento amministrativo sia un living-off-the-land binary sfruttabile dagli attaccanti. La Build Beta 26220.9202 per il ramo basato su Windows 11 25H2 e la Build 28020.2731 per 26H1 non includono più WMIC. La documentazione Microsoft sulla Build 26220.9202 conferma che la rimozione fa parte del percorso di dismissione già avviato da anni; WMI resta invece pienamente supportato. Microsoft raccomanda di migrare script e attività amministrative verso PowerShell, Get-CimInstance, Invoke-CimMethod, API COM o librerie .NET. Il passaggio era già entrato nelle build Windows 11 più recenti e l’aggiornamento Insider del 18 agosto ha confermato la rimozione di WMIC insieme alle modifiche di File Explorer. Sul piano della sicurezza, eliminare wmic.exe rimuove una utility firmata Microsoft che ransomware e malware hanno storicamente utilizzato per enumerare software di sicurezza, manipolare configurazioni e cancellare Shadow Copies. Non elimina però Windows Management Instrumentation né impedisce agli attaccanti di utilizzare strumenti alternativi. La stessa giornata mostra quindi due strategie opposte intorno all’ecosistema Microsoft: TwinLoot cerca di nascondersi sempre più profondamente dentro componenti affidabili, mentre Microsoft continua a rimuovere quelli legacy che offrono agli attaccanti capacità native difficili da distinguere dalle normali attività amministrative.