Pythonマルウェア「TWINLOOT」、Microsoftクラウドサービスを悪用して検知を回避
Pythonマルウェア「TWINLOOT」、SharePointとTeamsをC2に悪用して検知を回避
セキュリティ研究者は、Microsoftのクラウドサービスをコマンド・アンド・コントロール（C2）通信に利用するPythonベースのマルウェアフレームワークを確認した。Ontinue Cyber Defense Centerは、このマルウェアを「TWINLOOT」として追跡している。TWINLOOTはSharePoint Onlineをファイルの保存やコマンドの送受信に利用するほか、Microsoft TeamsのTURNインフラを双方向通信に悪用し、正規のMicrosoftサービスへの通信に見せかけることで検知を困難にする。
TWINLOOTはEdgeブラウザをヘッドレスモードで起動し、Chrome DevTools Protocolを介して操作することで、Microsoft Graph APIへのリクエストを生成する。C2通信では攻撃者が管理するAzureテナントを利用するため、被害組織のMicrosoft 365環境における通常のEntra IDログだけでは活動を把握しにくい。SharePointを介したコマンドの送受信やデータ窃取に加え、攻撃者自身のインフラへの直接的な通信を抑えることで、ネットワーク上では正規のMicrosoftクラウド通信に見える点が特徴となっている。
さらにTWINLOOTは、Microsoft TeamsのTURNインフラを経由するリバースSOCKS5トンネルを構築し、侵害した端末を足掛かりとして内部ネットワークへのアクセスを試みる。SMB、RDP、WinRMなどへの通信を侵害端末から発生したトラフィックとして中継することで、内部システムへのアクセス経路を確保する。この手法ではWebRTC DataChannelsも利用されており、信頼されたクラウドインフラをトンネリングに組み込むことで通信の識別を難しくしている。
TWINLOOTには、Windows 10およびWindows 11のロック画面を悪用して認証情報を取得し、SharePointを利用したC2チャネルへ送信する機能も確認されている。また、「Corrupting the Hive Mind」と呼ばれる手法を利用し、管理者権限を必要とせずに永続性を確保する。この方法では一般的なレジストリ変更に伴う監視イベントを回避できるため、従来の検知方法だけでは活動を捉えにくい可能性がある。
対策としては、通常とは異なるMicrosoft Graph APIへのアクセスやOAuthアプリの登録・同意、SharePointおよびTeamsにおける不審な通信を監視することが重要となる。また、EdgeのヘッドレスモードやPythonプロセスの異常な実行、TURNインフラへの不審な接続など、エンドポイントとクラウド双方のテレメトリを組み合わせて確認する必要がある。フィッシング耐性のある認証方式を導入することも、認証情報の悪用による被害を抑える対策の一つとなる。
