Um novo malware sofisticado chamado HollowGraph foi identificado explorando o calendário do Microsoft 365 para estabelecer canais de comando e controle (C2) furtivos, desviando-se das defesas tradicionais de segurança de rede.
Descoberta e escopo da ameaça
A descoberta foi realizada pela Group-IB, que identificou uma campanha direcionada que utiliza o serviço de calendário do Microsoft Graph API como um ponto de entrega furtivo para comandos maliciosos. O malware, compilado em .NET, opera através de contas do Microsoft 365 comprometidas, transformando a caixa de entrada em um ponto de troca de mensagens clandestino. A atividade foi rastreada desde 3 de junho de 2026, com a última comunicação observada em 9 de julho de 2026.
Diferente de campanhas massivas, esta operação focou em um número restrito de sistemas, com apenas 12 máquinas infectadas identificadas e cerca de três comunicando-se ativamente com os atacantes durante a janela de observação. O alvo principal parece ser organizações israelenses, sugerindo uma operação de espionagem deliberada em vez de hacking oportunista.
Como o HollowGraph opera
O componente malicioso utiliza a API do Microsoft Graph para se comunicar com os servidores de comando e controle. Em vez de contatar um servidor suspeito externo, o malware roteia todo o tráfego através da infraestrutura confiável da nuvem da Microsoft, fazendo com que o tráfego se misture com a atividade comercial normal. Isso torna a detecção baseada em rede extremamente difícil, pois o tráfego parece legítimo.
O malware suporta apenas dois comandos principais: get e send. Os operadores plantam instruções como eventos de calendário, enquanto o malware exfiltra arquivos roubados criando seus próprios eventos criptografados, com os dados ocultos dentro de anexos de arquivo. Para evitar alertar o proprietário da caixa de entrada, cada evento malicioso é agendado 24 anos no futuro, especificamente em 13 de maio de 2050, para que nunca apareça no calendário real de ninguém.
Análise técnica do canal de comando
Além do truque do calendário, o HollowGraph utiliza um segundo canal furtivo: tunelamento DNS através de consultas de registro AAAA IPv6 para um domínio chamado cloudlanecdn[.]com. Isso permite que o malware atualize silenciosamente suas credenciais de login do Microsoft Entra ID (Azure AD), armazenando os valores atualizados em um arquivo disfarçado como um arquivo de log inocente, logAzure.txt.
Todos os dados que se movem através do canal da Graph API são protegidos com criptografia híbrida RSA e AES-256-GCM. O uso de pares de chaves separadas para comandos de entrada e dados roubados de saída mantém as duas direções criptograficamente isoladas, dificultando a análise forense e a correlação de tráfego.
Atribuição e contexto geopolítico
A Group-IB atribui o HollowGraph com alta confiança ao framework de backdoor Cavern, uma ferramenta de kit de comando e controle modular anteriormente documentada pela Check Point Research. O framework está associado a um ator de nexo iraniano rastreado como Cavern Manticore.
Investigadores também identificaram sobreposições técnicas com o Lyceum, um grupo de ameaças iraniano ligado ao Ministério de Inteligência e Segurança do Irã e considerado um subgrupo do OilRig, embora essa conexão seja mantida com baixa confiança. A combinação de técnicas sugere uma evolução sofisticada das ferramentas de espionagem cibernética.
Indicadores de comprometimento
As equipes de segurança podem caçar o malware procurando por eventos de calendário datados de 2050-05-13, assuntos que são GUIDs nus ou seguem padrões de nomenclatura como Event ID: e Boss{..}ID{..}, e anexos nomeados File{n}.txt. Além disso, é necessário auditar a atividade do Microsoft Graph para alterações de calendário impulsionadas por aplicativos e monitorar consultas DNS AAAA incomuns.
Outros indicadores incluem a presença do domínio cloudlanecdn[.]com e o arquivo logAzure.txt. A detecção requer visibilidade aprimorada nas atividades de nuvem e monitoramento do abuso de serviços de nuvem confiáveis.
Recomendações para CISOs
A Group-IB recomenda que as organizações fortaleçam a visibilidade na nuvem, monitorem o abuso de serviços de nuvem confiáveis e apertem os controles em torno das permissões de aplicativos OAuth e credenciais do Entra ID para detectar ataques semelhantes no início. A auditoria regular de permissões de aplicativos e a revisão de eventos de calendário incomuns são essenciais para mitigar esse vetor de ataque específico.
Além disso, a implementação de autenticação multifator robusta e a monitorização de logs de atividade do Microsoft Graph podem ajudar a identificar tentativas de comprometimento de contas antes que o malware estabeleça um canal de comando e controle estável.