O que é o HollowGraph

O HollowGraph é um componente de malware que pesquisadores descrevem como parte provável do framework Cavern, já associado a um ator de ameaça iraniano. O objetivo observado não é o ataque em massa: os indicadores reunidos sugerem uma operação direcionada contra entidades em Israel, com foco em espionagem.

O que diferencia esse caso é o uso de uma ferramenta legítima da Microsoft, o Microsoft Graph. Em vez de manter um canal óbvio com servidores suspeitos, o malware se apoia em uma caixa de correio do Microsoft 365 que já está comprometida, misturando-se ao tráfego normal do ambiente.

Como o ataque funciona

Na prática, o HollowGraph usa credenciais fixas para autenticar na API do Microsoft Graph por meio de uma conta Microsoft 365 comprometida. A configuração fica guardada em um arquivo chamado logAzure.txt, cujo nome tenta se passar por um log qualquer do sistema.

Esse arquivo reúne dados sensíveis: ID do tenant no Microsoft Entra ID, ID da aplicação, segredo do cliente, endereço da caixa de correio alvo, domínio de comando e controle e duas chaves RSA. As chaves servem para proteger os arquivos enviados ao invasor e para ler as tarefas recebidas.

O detalhe mais engenhoso é o abuso do calendário. O invasor cria eventos datados de 13 de maio de 2050, com títulos em formatos específicos, para esconder comandos e transferir dados sem despertar suspeitas.

Sinais de alerta

Como o ataque explora recursos legítimos do Microsoft 365, a detecção passa por observar comportamentos fora do padrão. Vale revisar os pontos abaixo:

• Eventos de calendário com datas muito distantes, especialmente marcados para 2050.
• Eventos criados em caixas de correio sensíveis ou pouco utilizadas.
• Aplicações com acesso ao Microsoft Graph que a equipe não reconhece.
• Segredos de cliente e permissões sem justificativa operacional clara.
• Presença do arquivo logAzure.txt nos sistemas investigados.

Como se proteger

Empresas que usam Microsoft 365 devem encarar este caso como um alerta sobre o abuso de contas e permissões. A prioridade é confirmar se as aplicações autorizadas, as caixas de correio e os eventos de calendário realmente fazem sentido para o negócio.

• Revise os aplicativos registrados no Microsoft Entra ID e remova os que não forem reconhecidos.
• Troque segredos de cliente suspeitos e investigue quem os criou.
• Audite caixas do Microsoft 365 com eventos incomuns ou datas muito distantes.
• Monitore os acessos ao Microsoft Graph feitos por contas comprometidas ou fora do padrão.
• Inclua esse cenário nos playbooks de resposta a incidentes.

Checklist prático

1. Procure eventos de calendário fora do padrão, principalmente com data em 13 de maio de 2050.
2. Verifique os registros de aplicativos no Microsoft Entra ID e valide as permissões do Microsoft Graph.
3. Investigue sistemas com o arquivo logAzure.txt e isole as máquinas suspeitas para análise.

Perguntas frequentes

O HollowGraph explora uma falha do Microsoft 365?

Pelo material analisado, o destaque não é uma falha específica do Microsoft 365, e sim o abuso de contas e permissões já comprometidas para transformar recursos legítimos em um canal escondido.

Quem foi afetado até agora?

A análise menciona pelo menos 12 sistemas infectados, sendo 3 com comunicação ativa entre 3 de junho e 9 de julho. Os indicadores apontam foco em organizações em Israel.

Por que usar calendário torna o ataque mais difícil de perceber?

Porque eventos de calendário são atividades corriqueiras em ambientes Microsoft 365. Quando o invasor esconde comandos nesse fluxo normal, a investigação precisa mirar em detalhes fora do comum, como datas distantes e padrões de título.

Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io

Fontes:
https://www.bleepingcomputer.com/news/security/new-hollowgraph-malware-uses-microsoft-graph-for-stealthy-c2-comms/