TWINLOOT: un nuevo implante Python se oculta en SharePoint y Teams para robar credenciales
Un nuevo implante malicioso, bautizado como TWINLOOT, ha sido descubierto por investigadores de ciberseguridad, quienes han revelado cómo esta herramienta basada en Python explota servicios legítimos de Microsoft, como SharePoint Online y Microsoft Teams, para operar su infraestructura de mando y control (C2).
TWINLOOT es un implante modular, lo que significa que puede descargar y ejecutar diferentes componentes según sea necesario, adaptándose a los objetivos del atacante. Una de sus características más destacadas es que su código Python está "endurecido" con PyArmor, una herramienta que dificulta su análisis y la ingeniería inversa, complicando la tarea de los equipos de seguridad para comprender y mitigar su funcionamiento.
La estrategia central de TWINLOOT reside en su capacidad para camuflar sus operaciones dentro de servicios de Microsoft ampliamente utilizados y considerados de confianza. En lugar de comunicarse con servidores C2 externos directamente —lo que activaría muchas soluciones de seguridad—, TWINLOOT utiliza SharePoint Online para la gestión de tareas. Las instrucciones para el implante fluyen a través de archivos en SharePoint, permitiendo que las comunicaciones maliciosas se mimeticen con el tráfico de red legítimo de una organización.
El objetivo principal de TWINLOOT es el robo de credenciales, lo que le permite a los atacantes obtener acceso a cuentas de usuario y otros recursos sensibles. Una vez que las credenciales son comprometidas, el implante también está diseñado para facilitar el movimiento lateral dentro de la red. Esto significa que los atacantes pueden expandir su control desde un sistema inicialmente comprometido a otras máquinas y servidores dentro de la misma infraestructura, ampliando el alcance de su ataque y su capacidad de exfiltración de datos.
El descubrimiento de TWINLOOT subraya la evolución de las tácticas de ciberdelincuencia, donde los atacantes buscan constantemente nuevas formas de eludir las defensas de seguridad. Al abusar de servicios cloud de confianza, como los ofrecidos por Microsoft, los atacantes pueden operar de manera sigilosa y persistente, presentando un desafío significativo para la detección y respuesta en entornos corporativos modernos.
Por qué importa
La creciente adopción de servicios cloud empresariales como Microsoft 365 ha ampliado la superficie de ataque para las organizaciones. La explotación de plataformas de confianza para operaciones maliciosas representa una evolución en las tácticas de ciberdelincuencia, dificultando la detección al camuflar el tráfico de mando y control dentro de flujos de datos legítimos y esperados por las redes de seguridad.
Mando y control oculto en plataformas de confianza
TWINLOOT se distingue por establecer su infraestructura de mando y control (C2) íntegramente dentro de servicios legítimos de Microsoft, como SharePoint Online y Teams. Esta táctica le permite camuflar sus comunicaciones maliciosas entre el tráfico de red habitual de una organización, eludiendo así mecanismos de seguridad tradicionales y haciendo más difícil su detección.
TWINLOOT es un implante Python modular y protegido con PyArmor, diseñado para operar toda su infraestructura de mando y control dentro de servicios de Microsoft de confianza.
Ontinue
Datos clave
| Tipo de malware | Implante Python |
|---|---|
| Servicios explotados | SharePoint Online y Microsoft Teams |
| Objetivos principales | Robo de credenciales y movimiento lateral |
| Protección de código | PyArmor |
| Descubierto por | Investigadores de ciberseguridad (Ontinue) |
Fuente original: The Hacker News
