Pesquisadores de cibersegurança divulgaram detalhes de um framework de implant em Python até então não documentado, batizado de TWINLOOT.
“O TWINLOOT é um implant modular, protegido com PyArmor, projetado para operar toda a sua infraestrutura de comando e controle dentro de serviços confiáveis da Microsoft”, afirmou a Ontinue em um relatório técnico. “As tarefas passam por pontos de descarte de arquivos no SharePoint Online via Microsoft Graph API. O acesso interativo do operador ocorre por WebRTC DataChannels retransmitidos pelos servidores TURN do Microsoft Teams.”
O tráfego de e para a Graph API é conduzido por uma instância sem interface gráfica do próprio navegador Edge da vítima, o que o torna praticamente indistinguível de uma atividade legítima de rede. O implant também é capaz de coletar credenciais do Windows usando telas de bloqueio falsas com aparência idêntica à original, oferecer pivoteamento reverso via SOCKS5 para redes da vítima, executar comandos arbitrários e estabelecer persistência no host.
O Centro de Defesa Cibernética da Ontinue afirmou ter descoberto o implant durante a investigação de uma campanha em andamento em julho de 2026. Um aspecto marcante do malware é o uso de múltiplos canais de comando e controle, todos apoiados em serviços da Microsoft.
SharePoint Online, por meio da Graph API, para distribuição de tarefas
Servidores TURN do Teams para acesso interativo
Navegador Edge da vítima para transportar tráfego da Graph API
Acredita-se que o vetor inicial de acesso tenha sido um ataque de engenharia social via Microsoft Teams, no qual o threat actor, se passando por suporte de TI, convenceu a vítima a executar um comando PowerShell responsável por baixar um arquivo compactado contendo o runtime Python e um payload compilado de 39 MB, identificado como bootstrap-fat.pyc, que atua como loader do TWINLOOT.
Ao descrever o threat actor como alguém com profundo conhecimento de táticas ofensivas e da arquitetura de nuvem da Microsoft, a Ontinue disse que esse framework em Python é a primeira ferramenta conhecida a combinar C2 por ponto de descarte no Microsoft 365, abuso de retransmissão TURN no Teams e transporte por navegador sem interface em um único pacote.
O TWINLOOT executa dois canais paralelos a partir da máquina da vítima. Um deles é um ponto de descarte no SharePoint que se autentica em um tenant Azure do atacante e consulta uma unidade do SharePoint a cada 15 segundos em busca de comandos, permitindo que o operador receba instruções, as execute e exfiltre dados de volta ao servidor.
O segundo canal usa um túnel reverso SOCKS5 para viabilizar acesso interativo e movimentação lateral. “Ele funciona por meio de uma conexão direta TLS/WebSocket com o servidor do atacante ou pelo relay WebRTC TURN do Teams”, disse a Ontinue.
“O operador obtém um listener SOCKS5 na própria máquina, em 127.0.0.1:1080, e encaminha o tráfego por ele para a rede interna da vítima. Essas conexões saem do pythonw.exe no host comprometido para alvos internos em portas como 445, 3389, 5985 e 1433. Para a rede interna da vítima, parece que o host comprometido está fazendo conexões laterais normais.”
Para viabilizar a movimentação lateral, o operador captura a senha da vítima por meio de prompts falsos de bloqueio de tela e a exfiltra pelo canal do SharePoint. A tela falsa é exibida quando o comando “credz_waiting” é emitido pelo threat actor.
Vale observar que a senha digitada não é validada pela autenticação do Windows para verificar se a vítima inseriu a senha correta do sistema. Independentemente do que seja informado, a vítima vê a mensagem de erro “A senha está incorreta. Tente novamente”, o que provavelmente a leva a digitar a senha correta na segunda tentativa.
Depois que a credencial é inserida, a tela falsa de bloqueio é fechada automaticamente. Cada senha capturada é criptografada e enviada para a unidade do SharePoint. Em seguida, essas credenciais são abusadas pelo túnel SOCKS5 para avançar até o próximo host usando Remote Desktop Protocol, ou RDP, ou WinRM.
Esta não é a primeira vez que agentes maliciosos usam um mecanismo baseado em TURN para se comunicar com o threat actor. Em junho de 2026, a Symantec e a Carbon Black, da Broadcom, detalharam o uso do ransomware DragonForce de um trojan de acesso remoto, ou RAT, baseado em Go e chamado Backdoor.Turn, para esconder o tráfego de comando e controle dentro da infraestrutura de relay do Microsoft Teams.
Embora o modo de operação geral seja o mesmo, a implementação difere nas duas ferramentas. O Backdoor.Turn usa uma sessão QUIC por meio do relay. Já o TWINLOOT usa WebRTC DataChannels via aiortc.
No fim do mês passado, outro novo RAT baseado em Rust, batizado de msaRAT, foi observado usando o mesmo método TURN, mas contra a Twilio em vez do Teams. Atribuído ao grupo de ransomware Chaos, o malware é implementado com o runtime assíncrono Tokio para controlar uma sessão de navegador sem interface e estabelecer um túnel furtivo com o servidor do atacante.
O malware em DLL, identificado como lib.dll, é executado antes da implantação do ransomware por meio de um instalador MSI baixado de um host externo. Em seguida, ele localiza o caminho de instalação do Chrome ou do Edge, inicia o navegador em modo sem interface e injeta código JavaScript em uma nova aba para iniciar um canal de comunicação WebRTC com o servidor C2.
“Esse RAT nunca toca a rede diretamente. Ele controla seu canal de comunicação C2 exclusivamente por meio do Chrome DevTools Protocol, ou CDP, uma API de depuração do navegador”, observou a Cisco Talos no fim do mês passado. “O binário contém um endpoint do Cloudflare Workers, mas nunca faz conexões HTTP para esse domínio por conta própria. Todo esse trabalho é delegado integralmente ao navegador.”
“O msaRAT manipula o navegador via CDP, faz o processo de sinalização, com troca SDP Offer/Answer, com o Cloudflare Workers, e estabelece um WebRTC DataChannel entre o navegador e o servidor C2 usando o Twilio TURN, ou Traversal Using Relays around NAT, como relay.”
As descobertas mais recentes da Ontinue mostram como diferentes threat actors passaram a adotar de forma independente o mesmo abuso de relay TURN em menos de um ano após a técnica, batizada de Ghost Calls, ter sido divulgada publicamente pela Praetorian.
Assim como no caso do msaRAT, o TWINLOOT inicia o navegador Edge da vítima em modo sem interface, ativa sua interface de depuração remota e se conecta a ele via CDP. Concluída essa etapa, ele navega para a aba do navegador em graph.microsoft[.]com e usa a Drive API para interagir com o SharePoint controlado pelo threat actor.
“O msaRAT do grupo Chaos usa a mesma arquitetura de navegador sem interface via CDP, mas para sinalização WebRTC por meio do Cloudflare Workers”, explicou a Ontinue. “A convergência é notável. Dois agentes não relacionados chegaram de forma independente à ideia de usar o próprio navegador da vítima como transporte de C2 no mesmo mês.”
A persistência é configurada de acordo com a build, com PERSIST_ENABLED igual a True ou False. Ela usa quatro métodos.
Sequestro de scriptlet COM do TypeLib
Manipulação do TaskCache no estilo GhostTask
Autoatualização usando um manifesto reobf.json
Uso do Swarmer, uma ferramenta de código aberto
A quarta técnica faz uso da ferramenta de código aberto Swarmer, lançada pela Praetorian no ano passado como uma forma de “converter arquivos de exportação do Registro do Windows em arquivos hive do Windows que podem ser usados para substituir NTUSER.MAN”. O método permite criar chaves furtivas no Registro em HKEY_CURRENT_USER, ou HKCU, sem ser detectado por softwares de segurança, mesmo na ausência de privilégios de administrador.
“O implant constrói offline, de forma integral, um hive de perfil obrigatório do Windows usando duas APIs: RegLoadAppKeyW, que carrega um hive do Registro em um namespace privado de aplicativo sem exigir privilégios de administrador, e a biblioteca de Registro offline da Microsoft, offreg.dll, com ORCreateKey, ORSetValue e ORSaveHive”, disse a Ontinue.
“O hive resultante é gravado em %USERPROFILE%\NTUSER.MAN. Quando o Windows carrega um perfil de usuário, ele verifica o NTUSER.MAN, uma substituição de perfil obrigatório, antes do NTUSER.DAT. Se o NTUSER.MAN existir, seu conteúdo tem precedência.”
O desenvolvimento marca o primeiro uso malicioso registrado desse método de persistência em ambiente real. Além dessas capacidades, o TWINLOOT oferece reconhecimento, descoberta, captura de tela e a possibilidade de recorrer a um mecanismo no estilo EtherHiding para obter a configuração de runtime caso o método de ponto de descarte no Azure Blob Storage falhe. A resolução baseada em Ethereum não é usada na build, o que sugere que o framework está em desenvolvimento ativo.
Não está claro quem está por trás da ferramenta, mas a Ontinue afirmou que ela compartilha paralelos operacionais com um cluster identificado como STAC4749, que tem histórico de orquestrar campanhas de vishing no Teams para implantar ransomware Chaos.
“As sobreposições com o STAC4749 são notáveis: entrega por vishing no Teams, um backdoor em Python ofuscado com PyArmor, um proxy reverso SOCKS5, persistência por chave Run do HKCU e uma linha do tempo próxima”, afirmou a empresa de cibersegurança. “No entanto, a implementação subjacente é substancialmente diferente.”
“O STAC4749 usa PyInstaller, empacotamento, implantes baseados em Go, ferramentas independentes de proxy SOCKS5 e domínios .top atrás do Cloudflare. O TWINLOOT usa execução bruta de .pyc, Python puro, um multiplexador SOCKS5 integrado e domínios antigos obtidos por drop-catch com C2 por ponto de descarte no SharePoint. Se forem o mesmo operador, a ferramenta foi reconstruída do zero, e não evoluída.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...