TWINLOOT : Comment ce malware détourne Microsoft 365 pour s'infiltrer dans vos réseaux

L'essor des attaques de type 'Living off the Cloud'

La sécurité périmétrique traditionnelle, longtemps basée sur le filtrage des adresses IP et la réputation des domaines, montre ses limites face aux nouvelles stratégies des cybercriminels. Parmi ces tactiques, le concept de Living off the Cloud (vivre sur le nuage) consiste à utiliser des services cloud légitimes et hautement approuvés pour mener des activités malveillantes. En s'appuyant sur des infrastructures de confiance, les attaquants s'assurent que leur trafic réseau se confond avec les flux de travail quotidiens des entreprises ciblées.

Cette approche neutralise l'efficacité des passerelles web sécurisées et des pare-feux de nouvelle génération. En effet, bloquer l'accès à des plateformes collaboratives majeures paralyserait instantanément l'activité de n'importe quelle organisation moderne. C'est dans ce contexte que s'inscrit la découverte du framework d'attaque TWINLOOT, une menace particulièrement sophistiquée conçue pour exploiter les failles de configuration et la confiance aveugle accordée aux environnements Microsoft 365.

Qu'est-ce que le framework TWINLOOT et comment fonctionne-t-il ?

TWINLOOT est un framework d'implant modulaire développé principalement en Python. Pour empêcher les analystes en sécurité et les outils de détection statique d'étudier son fonctionnement, ses concepteurs ont appliqué une couche d'obfuscation avancée via l'utilitaire PyArmor. Cette technologie chiffre le bytecode Python et restreint l'exécution du script à des conditions spécifiques, rendant toute tentative de rétro-ingénierie (reverse-engineering) extrêmement complexe et chronophage.

Le malware se structure autour de plusieurs composants clés, chacun ayant un rôle précis dans la chaîne d'infection. Cette architecture modulaire permet aux attaquants de charger dynamiquement de nouvelles fonctionnalités en mémoire, limitant ainsi l'empreinte physique du logiciel malveillant sur le disque dur de la machine compromise. Voici les principales caractéristiques techniques de cet implant :

• Architecture modulaire : Chargement dynamique de scripts Python directement en mémoire pour éviter la détection par signature.
• Obfuscation par PyArmor : Chiffrement du code source et protection contre le débogage et la décompilation.
• Dépendances légitimes : Utilisation de bibliothèques standards et d'outils système intégrés pour minimiser les alertes de sécurité.
• Persistance discrète : Mécanismes d'exécution automatique dissimulés dans les tâches planifiées ou les clés de registre Windows.

Le détournement de SharePoint Online comme serveur de commande (C2)

L'une des plus grandes forces de TWINLOOT réside dans l'absence de serveurs de commande et de contrôle (C2) traditionnels appartenant aux attaquants. Au lieu de cela, le malware utilise des instances légitimes de SharePoint Online pour stocker ses instructions et exfiltrer les données collectées. Pour y parvenir, l'implant utilise des jetons d'accès OAuth compromis ou des identifiants dérobés lors de phases d'attaque préalables.

Les communications entre la machine infectée et le serveur SharePoint s'effectuent via des requêtes HTTPS standards vers les API officielles de Microsoft. Du point de vue des outils de surveillance réseau, ce trafic est strictement identique à une synchronisation de fichiers OneDrive ou à la consultation d'un document partagé par un collaborateur. Les commandes à exécuter sont écrites par les pirates dans des fichiers texte ou JSON dissimulés dans des répertoires SharePoint profonds, puis lues et exécutées par l'implant.

Une fois la tâche accomplie, TWINLOOT renvoie les résultats sous forme de fichiers chiffrés qu'il téléverse sur le même espace SharePoint. Cette méthode de communication indirecte rend la détection par analyse de flux réseau presque impossible, car les adresses IP de destination appartiennent toutes au réseau de confiance de Microsoft, empêchant tout blocage automatique par les systèmes de prévention des intrusions.

Comment TWINLOOT abuse-t-il du protocole TURN de Microsoft Teams ?

Au-delà de SharePoint, TWINLOOT intègre une technique de contournement réseau particulièrement innovante en exploitant l'infrastructure de Microsoft Teams. Plus spécifiquement, le malware abuse du protocole TURN (Traversal Using Relays around NAT), conçu à l'origine pour faciliter l'établissement de sessions de visioconférence et de téléphonie IP en traversant les pare-feux et les routeurs NAT restrictifs.

Les serveurs TURN de Microsoft Teams agissent comme des relais de communication légitimes. TWINLOOT utilise ces serveurs pour encapsuler son propre trafic réseau et établir des tunnels de communication bidirectionnels directs avec l'extérieur. Cette technique permet de contourner les règles de filtrage les plus strictes des pare-feux d'entreprise, qui autorisent systématiquement les flux multimédias de Teams pour garantir la qualité des réunions en ligne.

Le processus d'abus du protocole TURN par TWINLOOT se déroule généralement selon les étapes suivantes :

1. Authentification : L'implant utilise des identifiants ou des jetons Teams valides pour s'authentifier auprès des serveurs TURN de Microsoft.
2. Allocation de canal : Le malware demande l'allocation d'un port de relais sur le serveur TURN légitime de Microsoft.
3. Encapsulation du trafic : Les données malveillantes sont encapsulées dans des paquets STUN/TURN standard, imitant un flux audio ou vidéo.
4. Tunneling : Le serveur TURN relaie le trafic vers l'adresse IP contrôlée par l'attaquant, contournant ainsi l'inspection approfondie des paquets (DPI) du pare-feu local.

L'utilisation de navigateurs headless pour simuler l'activité humaine

Pour interagir avec les portails d'authentification de Microsoft sans éveiller les soupçons des systèmes de détection des fraudes, TWINLOOT déploie un navigateur web automatisé en mode headless (sans interface graphique), généralement basé sur Microsoft Edge. Cette technique permet au malware d'exécuter des scripts de connexion complexes comme s'il s'agissait d'une action initiée par l'utilisateur légitime sur son poste de travail.

L'utilisation d'un véritable moteur de rendu de navigateur permet de contourner les mécanismes de sécurité qui analysent les signatures de requêtes HTTP (User-Agent, empreinte TLS, exécution de scripts JavaScript). Le portail d'authentification de Microsoft détecte une connexion provenant d'un navigateur Edge standard, réduisant ainsi le score de risque de la tentative de connexion et facilitant la validation des accès ou le renouvellement des jetons de session.

De plus, cette automatisation invisible permet aux attaquants de manipuler les sessions actives de l'utilisateur. Si ce dernier s'est déjà authentifié avec succès, le navigateur headless peut récupérer les cookies de session actifs directement dans le profil de l'utilisateur, permettant au malware de s'authentifier sur d'autres services cloud sans avoir à saisir de mot de passe ni à déclencher une nouvelle demande d'authentification multifacteur.

Vol d'identifiants et mécanismes de mouvement latéral

L'objectif principal de TWINLOOT, après son installation et la sécurisation de ses canaux de communication, est la collecte d'informations d'identification à forte valeur ajoutée. L'implant dispose de modules dédiés à l'extraction de secrets. Il cible notamment le processus LSASS (Local Security Authority Subsystem Service) de Windows pour y dérober des hachages de mots de passe ou des tickets Kerberos stockés en mémoire.

Parallèlement, le malware fouille les bases de données des navigateurs web installés sur le poste pour extraire les mots de passe enregistrés par les utilisateurs, ainsi que les cookies de session de diverses applications d'entreprise. Ces informations permettent aux attaquants d'étendre leur contrôle sur d'autres comptes et de préparer la phase suivante de leur intrusion.

Pour se propager au sein du réseau local, TWINLOOT configure un proxy SOCKS5 interne. Ce proxy utilise le canal de communication établi via Teams ou SharePoint pour permettre aux attaquants d'injecter des outils de scan et d'exploitation directement dans le réseau interne de l'entreprise. Ils peuvent ainsi identifier les serveurs de fichiers, les contrôleurs de domaine et les systèmes de sauvegarde, ouvrant la voie à un déploiement massif de rançongiciel ou à un vol de données à grande échelle.

L'analyse comportementale : la clé pour détecter TWINLOOT

Puisque les signatures de fichiers traditionnelles sont rendues inopérantes par le chiffrement de PyArmor, la détection de TWINLOOT repose presque exclusivement sur l'analyse comportementale. Les systèmes de détection modernes surveillent les actions effectuées par les processus en temps réel, indépendamment de l'apparence ou de la signature du fichier exécutable. Cette approche permet d'identifier des anomalies d'activité qui trahissent la présence du malware sur le système.

Sur le poste de travail, plusieurs indicateurs comportementaux peuvent déclencher une alerte de sécurité. Par exemple, l'exécution d'un interpréteur Python qui tente d'accéder à la mémoire du processus système lsass.exe pour extraire des identifiants est un comportement hautement suspect. De même, le lancement invisible d'un navigateur Edge en mode headless par un script non signé, suivi immédiatement de requêtes vers des points de terminaison d'authentification Microsoft, constitue une anomalie majeure que les outils de détection comportementale savent corréler.

Au niveau du réseau, l'analyse comportementale s'intéresse à la nature et à la régularité des flux. Bien que le trafic vers les serveurs de Microsoft soit légitime, l'établissement d'une connexion de relais persistante et bidirectionnelle via le protocole TURN, sans qu'aucune session de visioconférence Teams ne soit active sur le poste de l'utilisateur, doit être traité comme une anomalie critique. La corrélation entre les événements système et les flux réseau est donc essentielle pour identifier et isoler rapidement une machine compromise par ce framework.

Tableau comparatif : Efficacité des défenses face à TWINLOOT

Le tableau ci-dessous met en évidence les limites des solutions de sécurité traditionnelles face aux techniques avancées de TWINLOOT, et montre l'importance d'adopter des outils de détection comportementale et de surveillance cloud.

Comment protéger votre infrastructure contre TWINLOOT ?

La lutte contre des menaces qui exploitent des services de confiance nécessite une révision des stratégies de défense. Il ne s'agit plus seulement de bloquer les menaces à la frontière du réseau, mais de surveiller en continu l'utilisation des ressources internes et cloud. Pour vous prémunir efficacement contre TWINLOOT, plusieurs mesures de durcissement doivent être appliquées de manière rigoureuse.

La mise en œuvre d'une politique de sécurité stricte sur votre tenant Microsoft 365 est la première étape indispensable. Voici les actions prioritaires à mener pour réduire la surface d'attaque :

• Activer l'accès conditionnel : Restreignez les connexions aux seuls appareils enregistrés et conformes aux politiques de sécurité de l'entreprise.
• Renforcer le MFA : Privilégiez des méthodes d'authentification résistantes au phishing, telles que l'application Microsoft Authenticator avec correspondance de nombres, et bannissez les validations par SMS.
• Surveiller le Unified Audit Log (UAL) : Configurez des alertes pour détecter les créations de fichiers inhabituelles sur SharePoint et les modifications de configuration de Teams.
• Restreindre les applications tierces : Bloquez le consentement des utilisateurs pour les applications d'entreprise non approuvées afin d'éviter le vol de jetons OAuth.

En complément de la sécurisation du cloud, la protection des terminaux reste cruciale. Le déploiement d'une solution de détection et de réponse sur les postes de travail (EDR) permet de bloquer l'exécution de scripts Python suspects et de surveiller les tentatives d'accès non autorisées à la mémoire système. Pour approfondir ces concepts de protection, vous pouvez consulter nos articles techniques sur le blog informatique de Le Bon Contact.

L'importance d'un accompagnement technique de proximité

La complexité de menaces telles que TWINLOOT met en évidence la nécessité pour les organisations de disposer d'une expertise technique pointue. Configurer correctement des politiques d'accès conditionnel, auditer des configurations Microsoft 365 ou analyser des journaux d'événements complexes requiert des compétences spécifiques qui ne sont pas toujours disponibles en interne.

Faire appel à un prestataire informatique qualifié permet de bénéficier d'un regard extérieur et d'un audit rigoureux de votre niveau de sécurité actuel. Qu'il s'agisse de déployer des outils de détection comportementale ou de sécuriser vos accès cloud, un accompagnement personnalisé est un atout majeur pour la résilience de votre organisation. Si vous suspectez une anomalie ou un ralentissement anormal sur vos équipements, un diagnostic rapide via un service de dépannage informatique à Agen peut permettre de lever le doute et de bloquer une éventuelle intrusion avant qu'elle ne se propage.

Une gestion proactive de votre parc informatique, combinée à une sensibilisation régulière de vos équipes aux risques de phishing, constitue la meilleure défense contre les cybermenaces modernes. Pour en savoir plus sur les bonnes pratiques de sécurisation ou pour évaluer vos besoins, n'hésitez pas à explorer nos différents services informatiques à Agen afin de concevoir une stratégie de défense adaptée à votre structure.

Conclusion et perspectives

Le framework TWINLOOT illustre parfaitement la sophistication croissante des cyberattaques modernes, qui n'hésitent plus à détourner les outils collaboratifs les plus populaires pour s'infiltrer au cœur des réseaux d'entreprise. En transformant SharePoint et Teams en vecteurs de commande et de contrôle, les attaquants rappellent que la confiance accordée par défaut aux services cloud doit être constamment validée et surveillée.

Pour faire face à ces menaces invisibles pour les outils de sécurité traditionnels, l'adoption d'une philosophie Zero Trust et le déploiement de solutions de détection comportementale sont devenus indispensables. En investissant dans la sécurisation de vos accès et en vous faisant accompagner par des professionnels de confiance, vous renforcez la pérennité de votre organisation face à un paysage de menaces en constante mutation.

Questions fréquentes

Sources

• Cybersecurity88 - TWINLOOT Turns Microsoft 365 Into a Weapon
• Reddit SecOpsDaily - TWINLOOT Abuses SharePoint and Teams