Malware TWINLOOT Utiliza Microsoft 365 e Azure para Disfarçar Ataques

A detecção do malware TWINLOOT reforça uma tendência preocupante que o CEVIU News já apontava em março de 2026, com a matéria “Atacantes Intensificam a Exploração de Serviços Legítimos na Nuvem”. Esse novo framework Python eleva a sofisticação da tática “living off the cloud”, misturando-se completamente ao tráfego legítimo de ambientes Microsoft 365 e Azure. O TWINLOOT utiliza serviços como SharePoint Online para comando e controle (C2) e exfiltração de dados, a infraestrutura TURN do Microsoft Teams para túneis SOCKS5 interativos, e até o navegador Edge da vítima em modo headless para chamadas à API Graph, simulando operações autênticas do sistema.

A arquitetura do TWINLOOT é pensada para enganar as defesas tradicionais, que geralmente confiam no tráfego Microsoft por padrão. Além de roubar credenciais por meio de uma tela de bloqueio falsa, ele emprega uma técnica inédita de persistência chamada “Corrupting the Hive Mind”, que cria um perfil obrigatório do Windows sem exigir privilégios administrativos. Para as organizações, isso significa que a segurança precisa ir muito além de assinaturas de malware, focando em detecção comportamental, monitoramento de identidade e governança rigorosa sobre como os serviços de nuvem são acessados e utilizados.

O TWINLOOT representa uma evolução na exploração de serviços Microsoft 365 para C2. O CEVIU News noticiou, em agosto de 2026, o malware HollowGraph, que utilizava calendários do Microsoft 365 para essa mesma finalidade. Agora, o TWINLOOT expande esse vetor, usando SharePoint, Teams e até o navegador Edge da vítima para camuflar suas operações. Isso mostra que os atacantes estão explorando um leque cada vez maior de funcionalidades legítimas dentro do ecossistema Microsoft, tornando a detecção mais complexa e exigindo uma visão holística da segurança em nuvem.

A técnica de persistência “Corrupting the Hive Mind”, que cria um perfil NTUSER.MAN sem exigir privilégios de administrador ou gerar eventos de registro, é um exemplo claro dessa inovação técnica. Além disso, o uso da infraestrutura TURN do Teams para túneis SOCKS5 é apenas o segundo caso observado e o primeiro a empregar WebRTC DataChannels, indicando um avanço significativo nas táticas de movimento lateral e acesso interativo.

Para os profissionais de estratégia de TI e computação em nuvem, o TWINLOOT sublinha a obsolescência das defesas perimetrais tradicionais. Quando ataques se mimetizam perfeitamente ao tráfego de serviços essenciais como Microsoft 365, a governança de identidade e o monitoramento comportamental se tornam críticos. Conforme alertado em julho de 2026 na matéria sobre ataques “Blind Spot” ao Microsoft Sentinel, é crucial que os sistemas de segurança sejam capazes de identificar anomalias, mesmo em atividades que parecem legítimas.

A exfiltração de credenciais, como também abordado nas notícias de phishing de código de dispositivo (julho de 2026) e consentimento OAuth (maio de 2026), e a capacidade de movimentação lateral do TWINLOOT, exigem uma reavaliação das políticas de Zero Trust. É imperativo implementar autenticação multifator resistente a phishing, monitorar rigorosamente as chamadas à API Graph e o comportamento atípico no SharePoint e Teams, como já era preocupação com o uso abusivo do Teams para impersonificação de helpdesk em abril de 2026. A postura de segurança corporativa agora depende de uma detecção baseada em comportamento e de uma profunda visibilidade sobre o uso da nuvem.