新的恶意软件将Microsoft 365 和 Azure 变成其控制中心

新的恶意软件将Microsoft 365 和 Azure 变成其控制中心。

安全研究者警告说,新发现的Python恶意软件框架通过微软服务引导其大部分的指挥与控制(C2)活动,维权者已经期望看到这种服务. Ontinue Cyber Defense Center在调查7月的一次活跃运动时发现了这个植入物,此后一直以TWINLOOT来追踪. 它被视为使用SharePoint Online作为基于文件的死机,Microsoft Teams的TURN基础设施用于交互通信,以及受害者自己Edge浏览器的无头实例来发送Microsoft Graph API请求. 它的主要C2流量可以在微软IP空间中终止,而不是攻击者控制域,Ontinue研究者在周二出版前与CSO分享的一份报告中说. “TWINLOOT工作是因为维权者接受了培训, “链条中没有攻击者拥有的域名,这意味着流量看起来完全像它应该的样子,而且大多数检测工具都会离开它。” 微软没有立即回应民间组织的征求意见请求. Malware住在TWINLOOT的架构中, 它的SharePoint频道每15秒做一次调查, 以了解命令、返回结果以及过滤被窃的证件和侦察数据。 根据Ontinue,植入物认证给攻击者控制的Azure租户,而不是受害者的微软365环境,在受害者的Entra身份证日志中没有产生认证或审计事件. 对于交互访问,恶意软件可以建立逆向的SOCKS5地道并经由微软的Teams TURN基础设施进行通路. 操作员然后可以使用被损坏的端点来访问内部网络,与SMB,RDP,和WinRM等服务的连接出现。

（编译自 Computerworld；原文 https://www.computerworld.com/article/4210979/new-malware-turns-microsoft-365-and-azure-into-its-control-center.html，编译转述，非原文转载）