Um componente malicioso batizado de HollowGraph usa o recurso de calendário das caixas de correio comprometidas do Microsoft 365 como canal de comando e controle para receber instruções dos atacantes e exfiltrar dados roubados.
Pesquisadores que analisaram o módulo acreditam que ele faz parte do framework de comando e controle Cavern, já associado anteriormente a um threat actor iraniano que mirava entidades em Israel.
Ao menos 12 sistemas foram infectados com o HollowGraph, sendo que três deles se comunicaram ativamente com o threat actor entre 3 de junho e 9 de julho de 2026.
Os indicadores coletados sugerem que o threat actor está focado em organizações em Israel, o que aponta para um ataque direcionado com fins de espionagem.
Em relatório da empresa de cibersegurança Group-IB, os pesquisadores afirmam que o HollowGraph usa detalhes embutidos no código para se autenticar na Microsoft Graph API por meio de uma conta comprometida do Microsoft 365.
O arquivo de configuração é armazenado como logAzure.txt para se passar por um arquivo de log comum e inclui o ID do tenant do Microsoft Entra ID, o ID da aplicação, o segredo do cliente, o endereço da caixa de correio alvo, o domínio de comando e controle (C2) e duas chaves RSA.
As duas chaves criptográficas são usadas para criptografar arquivos antes da entrega ao atacante e para descriptografar as tarefas recebidas.
Para permanecer fora do radar, o threat actor cria eventos de calendário com a data de 13 de maio de 2050, usando títulos em formatos específicos.
Os comandos e os dados roubados ficam ocultos em arquivos anexados a essas entradas de calendário.
Segundo a análise da Group-IB, o HollowGraph dá suporte a apenas dois comandos, que permitem criar entradas de calendário com arquivos roubados de forma criptografada e buscar novas instruções enviadas pelo threat actor: GET, para procurar entradas no formato "Event ID: <7-char-taskID>", baixar e descriptografar as instruções recebidas; e SEND, para criar uma entrada de calendário no formato "Boss{..}ID{..}" e anexar dados roubados criptografados com a chave pública RSA.
Os pesquisadores descrevem o calendário da caixa de correio como um “cofre morto clandestino”, com o HollowGraph recuperando comandos de eventos agendados em uma janela fixa de uma hora entre 22h e 23h UTC de 13 de maio de 2050.
A Group-IB explica que o threat actor usa um esquema híbrido de criptografia que combina os algoritmos RSA e AES-256-GCM para proteger a comunicação via Microsoft Graph, mantendo separados, do ponto de vista criptográfico, os canais de entrada e saída.
O HollowGraph também tem um segundo canal de comunicação, sem criptografia, por meio de tunnelling via DNS, usado para receber novos dados do Microsoft Entra ID, como tenantId, clientId, clientSecret e mailbox, para autenticação no Microsoft Graph.
Ele recupera esses valores por meio de consultas a registros AAAA de IPv6 para o domínio cloudlanecdn[.]com, controlado pelo atacante, e atualiza os arquivos de configuração armazenados como logAzure.txt.
“Cada endereço IPv6 retornado, com 16 bytes, produz 14 bytes úteis de payload”, explica a Group-IB.
O malware monta o payload a partir desses blocos de 14 bytes, decodifica o conteúdo como texto UTF-8 e armazena o resultado no campo correspondente do arquivo de configuração.
Embora os pesquisadores não possam atribuir o HollowGraph a um threat actor conhecido, a análise identificou várias semelhanças técnicas com o threat actor iraniano Lyceum.
Ainda assim, as evidências disponíveis são insuficientes para atribuir a atividade ao threat actor com alta confiança.
Por outro lado, os pesquisadores avaliam com alta confiança que o HollowGraph está ligado ao framework Cavern.
A caixa de e-mail usada para a exfiltração e comprometida pertence a uma organização israelense, mas a Group-IB trata isso como geografia da vítima, não como atribuição.
A Group-IB identificou o implante em pelo menos 12 máquinas, e apenas cerca de três delas estavam em comunicação ativa com o invasor durante a janela de análise.
O tráfego das vítimas ocorreu entre 3 de junho e 9 de julho de 2026.
Para a empresa, esse volume pequeno e seletivo indica espionagem direcionada, não crime oportunista, embora a técnica possa ser reaproveitada em campanhas muito mais amplas.
Não há aqui uma vulnerabilidade de software da Microsoft e tampouco um patch para aplicar.
O HollowGraph depende de uma conta comprometida e do funcionamento normal da API Graph, exatamente o que torna sua detecção tão difícil.
O foco, portanto, deve estar em identidade, permissões de aplicativos e monitoramento, não em correção de falha.
O que observar
As orientações de detecção da Group-IB se concentram nos hábitos do próprio malware, e os sinais mais claros aparecem no calendário.
Procure por eventos que contenham:
- data no futuro distante, especificamente 13 de maio de 2050;
- assunto em formato de GUID puro ou que siga o padrão Event ID: ou Boss{..}ID{..};
- anexos chamados File{n}.txt.
No plano de identidade, a empresa recomenda restringir e auditar os aplicativos OAuth com credenciais de cliente que podem acessar o Graph, além de alertar para a criação de novos client secrets.
Também entram as boas práticas usuais do Entra ID, como Conditional Access, rotação de credenciais e detecção de tokens anômalos.
Na detecção, vale auditar o Microsoft Graph e a atividade da caixa de e-mail em busca de alterações de calendário feitas por aplicativos, como eventos criados, anexos enviados ou assuntos renomeados por uma aplicação em vez de uma pessoa.
Também é importante observar o DNS para consultas AAAA muito frequentes e subdomínios longos, com alta entropia, apontando para um único domínio.
A busca por cloudlanecdn[.]com e pelo arquivo de configuração logAzure.txt é um bom primeiro passo, e o conjunto completo de indicadores, incluindo hashes de arquivo, está no relatório da Group-IB.
Ocultar comando e controle em serviços confiáveis da Microsoft não é novidade.
Hackers já abusaram de caixas de entrada do Outlook, pastas de rascunho e do OneDrive.
Eventos marcados para 2050, em um lugar que ninguém costuma verificar, são apenas o mais recente esconderijo explorado pelos defensores.
O operador continua sem nome, e o tráfego da vítima foi visto pela última vez em 9 de julho, o que torna esses eventos futuros um alvo que merece atenção imediata.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...