Microsoft 365とTeamsを悪用して社内網へ侵入する新種マルウェア「TWINLOOT」が判明

要点

• セキュリティ企業Ontinueが、Microsoftの正規クラウドサービス内に通信基盤を構築する新型マルウェア「TWINLOOT」の詳細を公表した。

• 指令の送受信にはSharePointとGraph APIを利用し、対話型アクセスにはTeamsのTURNサーバーとWebRTCが悪用されている。

• 被害者端末のEdgeブラウザを画面非表示で動作させて通信を正規トラフィックに見せかけるほか、精巧な偽ロック画面でWindowsの認証情報を盗み出す。

• 窃取した認証情報とSOCKS5トンネルを組み合わせ、組織の内部ネットワークで横展開を行う仕組みを持つ。

• セキュリティ企業OntinueのCyber Defense Centerは2026年8月、Microsoft 365やMicrosoft Teamsなどの正規クラウドサービス内に通信インフラを完全に隠蔽する新たなマルウェアフレームワーク「TWINLOOT」を発見したと発表しました。同社が2026年7月に検知した攻撃キャンペーンの調査から明らかになったもので、侵害した端末から正規サービスを装って社内ネットワークへの侵入や認証情報の窃取を行います。

信頼されたクラウドサービスを悪用するC2構造

TWINLOOTは、Pythonで記述され「PyArmor」と呼ばれるツールで保護されたモジュール型の不正プログラムです。従来のマルウェアと異なり、指令サーバーとの通信（C2）インフラ全体を信頼されたMicrosoftのクラウド環境内に完結させている点が特徴です。

本マルウェアは主に3つの経路でMicrosoftサービスを利用します。1つ目はSharePoint Onlineで、Microsoft Graph APIを通じて指令ファイルの受け渡しやデータ流出を行う「デッドドロップ（受け渡し場所）」として機能します。2つ目はMicrosoft TeamsのTURN（通信中継用サーバー規格）リレーサーバーで、WebRTCのデータ通信技術を用いて攻撃者が遠隔操作するための対話型アクセス経路を確立します。3つ目は端末にインストールされているEdgeブラウザで、画面を表示しないヘッドレス状態で起動させてGraph APIとのトラフィックを中継させることで、正規のWeb閲覧通信に見せかけています。

Ontinueは、Microsoft 365のデッドドロップ、TeamsのTURNリレー悪用、そしてヘッドレスブラウザによる通信偽装を単一のツールとして統合した事例は初めてだと説明しています。

Teamsを通じた初期侵入の手口

攻撃の起点となる初期侵入では、Microsoft Teamsを利用したソーシャルエンジニアリング（人の心理的隙を突く手口）が使われていると見られています。

攻撃者はITサポート担当者を装って標的のユーザーに接触し、PowerShellコマンドを実行するよう誘導します。このコマンドによって、Pythonの実行環境と「bootstrap-fat.pyc」と呼ばれる約39MBのコンパイル済みペイロード（実行用データ）を含むアーカイブファイルがダウンロードされます。このペイロードがローダーとして機能し、最終的にTWINLOOTを展開して端末への常駐や遠隔操作を可能にします。

2系統の通信チャネルと内部ネットワークへの侵入

TWINLOOTは被害端末上で並行して2つの通信チャネルを稼働させます。

1つ目のチャネルは、攻撃者のAzureテナントに認証を行い、15秒間隔でSharePointドライブをポーリング（定期問い合わせ）する仕組みです。攻撃者はこの共有ドライブを介してコマンドを送信し、端末側で実行された結果や収集されたデータを回収します。

2つ目のチャネルは、攻撃者サーバーへの直接接続またはTeamsのTURNリレーを介して構築されるリバースSOCKS5トンネル（外部から内部への通信を中継するプロキシ技術）です。攻撃者は自身のマシン上でローカル待受ポート（127.0.0.1:1080）を用意して通信をプロキシ経由で送り込み、被害端末の「pythonw.exe」プロセスから社内ネットワーク上の各端末へアクセスします。これにより、ファイル共有（SMBの445番ポート）、リモートデスクトップ（RDPの3389番ポート）、リモート管理（WinRMの5985番ポート）、データベース（MSSQLの1433番ポート）といったポートに対して接続が行われます。組織の内部からは、侵害された端末が通常の通信を行っているように見えます。

偽ロック画面によるパスワード詐取と横展開

さらにTWINLOOTは、社内ネットワークでの横展開（別の端末へ感染を広げる行為）を容易にするため、巧妙な手口でWindowsのログインパスワードを収集します。

攻撃者が「credz_waiting」というコマンドを送信すると、被害端末の画面上に正規のWindowsロック画面と見分けがつかない精巧な偽のサインイン画面が表示されます。この画面にはWindows認証によるパスワードの検証機能がありません。どのような文字列が入力されても一度「パスワードが正しくありません。再試行してください」というエラーメッセージを表示し、ユーザーが誤入力だと誤認して2回目に正しいパスワードを確実に入力するように誘導します。

パスワードが入力されると偽画面は自動的に閉じ、収集された認証情報は暗号化された上でSharePointドライブへアップロードされます。攻撃者はこうして得た認証情報と前述のSOCKS5トンネルを使い、RDPやWinRMを介して次なる社内ホストへと不正アクセスを広げていきます。

Teams TURNリレー悪用の背景

正規の通信インフラであるTURNリレーを悪用する手口は、今回が初めてではありません。2026年6月には、ランサムウェアグループ「DragonForce」がTeamsのリレーインフラ内にC2通信を隠蔽するGo言語製のマルウェア「Backdoor.Turn」を使用していたことが、SymantecおよびCarbon Blackによって報告されています。ただし、Backdoor.TurnがQUICプロトコルを使用していたのに対し、TWINLOOTはWebRTC DataChannelsを採用するなど実装方法に違いが見られます。また、2026年7月下旬にも同様にTURNリレーを悪用するRust製のマルウェア「msaRAT」が確認されており、正規サービスを隠れ蓑にする手口が確認されています。