Un nuevo malware llamado HollowGraph ha sido detectado abusando de la API Microsoft Graph para transformar calendarios de Microsoft 365 en canales encubiertos de comando y control (C2). Investigadores de Group-IB atribuyen con alta confianza este sofisticado malware al framework Cavern, y señalan que el ataque está dirigido principalmente a organizaciones israelíes.
Por qué importa: HollowGraph utiliza servicios confiables de Microsoft para evadir detección y mantener comunicación cifrada con sus operadores, lo que representa un riesgo avanzado para la seguridad de Microsoft 365.
Lo esencial
- HollowGraph convierte calendarios de Microsoft 365 en canales bidireccionales para enviar y recibir comandos maliciosos.
- El malware está vinculado al framework Cavern y se enfoca en objetivos israelíes.
- Utiliza cifrado híbrido RSA y AES-256-GCM para proteger sus comunicaciones y emplea DNS tunneling para renovar credenciales.
Uso de Microsoft Graph API para comunicación encubierta
HollowGraph explota la API Microsoft Graph para manipular calendarios de Microsoft 365, creando citas con archivos adjuntos cifrados que contienen datos robados o instrucciones. El comando send genera estas citas con información exfiltrada, mientras que el comando get busca citas plantadas por el atacante para descargar órdenes. Esta técnica evita conexiones directas a servidores maliciosos, dificultando la detección.
Relación con el framework Cavern y características técnicas
Group-IB identificó que HollowGraph comparte la sintaxis de comandos y estructura con el framework Cavern, conocido por su sofisticación. El malware utiliza un formato específico para invocar comandos y emplea claves RSA distintas para cifrar las comunicaciones en ambas direcciones. Además, comandos observados coinciden con instrucciones propias del framework Cavern, lo que sugiere que HollowGraph es una variante de esta plataforma maliciosa.
