HollowGraph usa Microsoft Graph para C2 furtivo em calendários M365
Malware explora calendários do Microsoft 365 para receber ordens e enviar dados roubados.
Resumo rápido
O HollowGraph é um componente malicioso que usa calendários de contas comprometidas do Microsoft 365 como canal de comando e controle. Segundo a análise citada, ao menos 12 sistemas foram infectados, com 3 em comunicação ativa entre 3 de junho e 9 de julho. Os indicadores observados apontam para organizações em Israel e um perfil de espionagem.
Neste artigo você vai aprender:
- O que é o HollowGraph e por que ele foge do padrão de malware comum.
- Como os calendários do Microsoft 365 entram no ataque.
- Quais dados aparecem na configuração usada pelo malware.
- Que sinais práticos podem indicar abuso de contas e eventos.
- Quais ações priorizar para reduzir o risco.
O que é o HollowGraph
O HollowGraph é um componente de malware que pesquisadores descrevem como parte provável do framework Cavern, já associado a um ator de ameaça iraniano. O objetivo observado não é o ataque em massa: os indicadores reunidos sugerem uma operação direcionada contra entidades em Israel, com foco em espionagem.
O que diferencia esse caso é o uso de uma ferramenta legítima da Microsoft, o Microsoft Graph. Em vez de manter um canal óbvio com servidores suspeitos, o malware se apoia em uma caixa de correio do Microsoft 365 que já está comprometida, misturando-se ao tráfego normal do ambiente.
Como o ataque funciona
Na prática, o HollowGraph usa credenciais fixas para autenticar na API do Microsoft Graph por meio de uma conta Microsoft 365 comprometida. A configuração fica guardada em um arquivo chamado logAzure.txt, cujo nome tenta se passar por um log qualquer do sistema.
Esse arquivo reúne dados sensíveis: ID do tenant no Microsoft Entra ID, ID da aplicação, segredo do cliente, endereço da caixa de correio alvo, domínio de comando e controle e duas chaves RSA. As chaves servem para proteger os arquivos enviados ao invasor e para ler as tarefas recebidas.
O detalhe mais engenhoso é o abuso do calendário. O invasor cria eventos datados de 13 de maio de 2050, com títulos em formatos específicos, para esconder comandos e transferir dados sem despertar suspeitas.
Sinais de alerta
Como o ataque explora recursos legítimos do Microsoft 365, a detecção passa por observar comportamentos fora do padrão. Vale revisar os pontos abaixo:
- Eventos de calendário com datas muito distantes, especialmente marcados para 2050.
- Eventos criados em caixas de correio sensíveis ou pouco utilizadas.
- Aplicações com acesso ao Microsoft Graph que a equipe não reconhece.
- Segredos de cliente e permissões sem justificativa operacional clara.
- Presença do arquivo logAzure.txt nos sistemas investigados.
Como se proteger
Empresas que usam Microsoft 365 devem encarar este caso como um alerta sobre o abuso de contas e permissões. A prioridade é confirmar se as aplicações autorizadas, as caixas de correio e os eventos de calendário realmente fazem sentido para o negócio.
- Revise os aplicativos registrados no Microsoft Entra ID e remova os que não forem reconhecidos.
- Troque segredos de cliente suspeitos e investigue quem os criou.
- Audite caixas do Microsoft 365 com eventos incomuns ou datas muito distantes.
- Monitore os acessos ao Microsoft Graph feitos por contas comprometidas ou fora do padrão.
- Inclua esse cenário nos playbooks de resposta a incidentes.
Checklist prático
- Procure eventos de calendário fora do padrão, principalmente com data em 13 de maio de 2050.
- Verifique os registros de aplicativos no Microsoft Entra ID e valide as permissões do Microsoft Graph.
- Investigue sistemas com o arquivo logAzure.txt e isole as máquinas suspeitas para análise.
Perguntas frequentes
O HollowGraph explora uma falha do Microsoft 365?
Pelo material analisado, o destaque não é uma falha específica do Microsoft 365, e sim o abuso de contas e permissões já comprometidas para transformar recursos legítimos em um canal escondido.
Quem foi afetado até agora?
A análise menciona pelo menos 12 sistemas infectados, sendo 3 com comunicação ativa entre 3 de junho e 9 de julho. Os indicadores apontam foco em organizações em Israel.
Por que usar calendário torna o ataque mais difícil de perceber?
Porque eventos de calendário são atividades corriqueiras em ambientes Microsoft 365. Quando o invasor esconde comandos nesse fluxo normal, a investigação precisa mirar em detalhes fora do comum, como datas distantes e padrões de título.
Proteja sua empresa com a LC SEC
A LC SEC ajuda sua empresa a revisar acessos Microsoft 365, permissões no Microsoft Entra ID e sinais de abuso em ambientes corporativos antes que um incidente vire perda de dados.
Conheça: Pentest, Threat Intelligence com IA, Conscientização de Segurança, SGSI, Plano Diretor de Segurança, Auditoria Interna, Governança de MFA e Cofre TOTP, ISO 42001 - IA, Diagnóstico Gratuito de Segurança. lcsec.io
Compartilhe nas redes sociais:
