Neuer Python-Schädling steuert sich vollständig über SharePoint und Teams

Ontinue hat mit TWINLOOT ein Python-Implantat dokumentiert, das sich vollständig über SharePoint und Teams steuern lässt.

Nach Angaben von Ontinue leiten Angreifer Befehle über in SharePoint Online abgelegte Dateien per Microsoft-Graph-API an infizierte Systeme weiter, während die interaktive Fernsteuerung über WebRTC-Datenkanäle läuft, die durch Teams-eigene TURN-Server weitergeleitet werden. Für den Zugriff auf die Graph-API startet TWINLOOT eine unsichtbare, kopflose Instanz des im System vorhandenen Edge-Browsers des Opfers, wodurch der zugehörige Datenverkehr kaum von gewöhnlicher Browsernutzung zu unterscheiden ist. Der erste Kanal, ein sogenannter SharePoint-Dead-Drop, authentifiziert sich gegenüber einem vom Angreifer kontrollierten Azure-Mandanten und fragt alle 15 Sekunden neue Befehle ab. Der zweite Kanal baut einen umgekehrten SOCKS5-Tunnel auf, über den sich Angreifer interaktiv im Netzwerk des Opfers bewegen können, wobei der zugehörige Datenverkehr von außen betrachtet wie gewöhnliche interne Verbindungen zu Diensten wie SMB, RDP, WinRM oder MSSQL wirkt.

Nach Einschätzung von Ontinue erfolgt der erste Zugriff typischerweise über eine Social-Engineering-Attacke via Microsoft Teams, bei der sich Angreifer als IT-Support ausgeben und Opfer zur Ausführung eines PowerShell-Befehls bewegen, der wiederum eine rund 39 Megabyte große, kompilierte Python-Nutzlast nachlädt.

Gefälschter Sperrbildschirm zum Passwortdiebstahl

Zum Diebstahl von Zugangsdaten blendet TWINLOOT auf Befehl einen pixelgenauen, gefälschten Windows-Sperrbildschirm ein. Unabhängig vom eingegebenen Passwort zeigt das System zunächst eine Fehlermeldung an, damit Opfer ihr tatsächliches Passwort bei einem zweiten Versuch eingeben, das anschließend verschlüsselt über den SharePoint-Kanal abfließt und für die weitere Ausbreitung im Netzwerk per RDP oder WinRM genutzt wird. Für dauerhaften Zugriff nutzt die Schadsoftware unter anderem eine laut Ontinue erstmals in freier Wildbahn beobachtete Methode, bei der ein sogenanntes Mandatory-Profile-Hive vollständig offline erzeugt und als NTUSER.MAN abgelegt wird, wodurch sich unbemerkt Registry-Einträge setzen lassen, selbst ohne Administratorrechte.

Verbindungen zu bereits bekannter Gruppe, aber grundlegend neuer Code

Ontinue weist auf operative Parallelen zu der bereits zuvor dokumentierten Gruppe STAC4749 hin, die zuvor Teams-Vishing-Kampagnen zur Verbreitung der Chaos-Ransomware durchgeführt hatte, etwa beim Einsatz von Teams-Vishing, einer ebenfalls PyArmor-verschleierten Python-Backdoor sowie einem umgekehrten SOCKS5-Proxy. Die konkrete technische Umsetzung unterscheidet sich laut Ontinue jedoch erheblich, weshalb selbst bei identischem Betreiber von einer vollständigen Neuentwicklung statt einer Weiterentwicklung auszugehen sei.

TWINLOOT reiht sich zudem in eine wachsende Zahl unabhängiger Schadsoftware-Familien ein, die dieselbe, ursprünglich vom Sicherheitsunternehmen Praetorian unter dem Namen Ghost Calls offengelegte TURN-Relay-Technik nutzen, darunter das DragonForce-Ransomware-Werkzeug Backdoor.Turn sowie das der Chaos-Gruppe zugeschriebene msaRAT.

(red)