El implante de espionaje recién descubierto utilizaba un calendario de Microsoft 365 secuestrado como canal de comando, instrucciones integradas para sus operadores y archivos robados de contrabando como archivos adjuntos a eventos del calendario fechados en 2050.
Group-IB, que nombró al malware HollowGraph, dice que este enfoque mueve el procesamiento de tareas y los datos robados a través del tráfico legítimo de la API de Microsoft Graph, por lo que la actividad parece un chat normal de Microsoft 365 y no marca ningún control de red vinculado a destinos propiedad de los atacantes.
El implante es una DLL .NET que admite sólo dos comandos: obtener y enviar, y no recupera la carga útil a un servidor propiedad del atacante. En su lugar, trate el calendario del buzón comprometido como un punto muerto bidireccional.
Para realizar las tareas, consulte el calendario para conocer el evento que el operador incorporó el 13 de mayo de 2050. Por lo tanto, es poco probable que el propietario del buzón se desplace hasta ese evento y lea las instrucciones del archivo adjunto. Para robar, haz lo contrario. Cifre archivos robados, cree su propio evento en el futuro lejano y cargue los datos como uno o más archivos adjuntos.
Todo lo que se mueve dentro de su calendario está envuelto en cifrado híbrido RSA y AES-256, utilizando pares de claves separados para las tareas entrantes y los datos salientes.
El segundo canal grueso mantiene ese acceso al gráfico. A través de DNS, HollowGraph actualiza los detalles de inicio de sesión de Entra ID (Azure AD) de la aplicación (ID de inquilino, ID de cliente, secreto de cliente, buzón de correo de destino). Decodifica estos valores de los registros IPv6 AAAA enviados por el dominio del atacante, cloudlanecdn(.)com, y los escribe en un archivo, logAzure.txt, disfrazado de registro de rutina. Se trata de credenciales de cliente almacenadas en lugar de tokens de acceso y, a diferencia del tráfico del calendario, este canal se ejecuta en texto sin cifrar.
Group-IB conecta de manera confiable HollowGraph con Cavern basándose en una sintaxis de comando compartida y tareas internas coincidentes. Cavern es un marco modular de puerta trasera que Check Point documentó a principios de este mes y se atribuye a un actor afiliado al Ministerio de Inteligencia y Seguridad iraní al que llama Cavern Manticore, un grupo que, según la compañía, se superpone con los conocidos grupos iraníes MuddyWater y Lyceum.
Pero lo que definitivamente está vinculado es el código, no el personal. Group-IB no revelará los nombres de los operadores detrás de la campaña. «Basándonos en la evidencia actualmente disponible, no podemos atribuir con seguridad esta actividad a ningún actor previamente identificado», escribieron, señalando únicamente que la superposición con Lyceum, un subgrupo del actor iraní OilRig, no es confiable. Aunque el buzón comprometido pertenece a una organización israelí, Group-IB lo trata como una geografía de víctima en lugar de una atribución.
Group-IB descubrió los implantes en al menos 12 máquinas, pero solo unas tres de ellas se comunicaban activamente con los atacantes durante el período de análisis, y el tráfico de la víctima se desarrolló desde el 3 de junio de 2026 hasta el 9 de julio de 2026. Aunque la tecnología detrás de esto podría potencialmente reutilizarse mucho más ampliamente que esta campaña, su huella pequeña y selectiva se parece más a un espionaje dirigido que a un crimen oportunista.
Aquí no hay vulnerabilidades de software de Microsoft y no hay parches para aplicar. HollowGraph aprovecha las cuentas comprometidas y la funcionalidad normal de Graph API, razón por la cual es difícil de identificar. Este trabajo se basa en la identidad y los derechos y la supervisión de las aplicaciones, no en parches.
Que tener en cuenta
Los consejos de detección de Group-IB se basan en los propios hábitos del malware, y las señales más claras se encuentran en el propio calendario. Busque eventos como:
Una fecha en un futuro lejano, específicamente el 13 de mayo de 2050. Un asunto que es un GUID simple, o un ID de evento de operador: o un asunto que coincide con el nombre de Boss{..}ID{..}. Un archivo adjunto llamado Archivo{n}.txt.
En el frente de la identidad, la compañía recomienda una higiene de identidad regular de Entra, como acceso condicional, rotación de credenciales y detección de tokens anormales, además de restringir y auditar las aplicaciones OAuth de credenciales de cliente que pueden acceder a Graph y emitir alertas para secretos de clientes recién creados.
Para detectar, audite Microsoft Graph y la actividad del buzón de correo en busca de cambios en el calendario impulsados por la aplicación (eventos creados, archivos adjuntos cargados o asuntos cuyo nombre cambió por una aplicación en lugar de usted). También tenga cuidado con los DNS. Busque consultas AAAA inusualmente frecuentes o subdominios largos y de alta entropía de un solo dominio. Localizar los archivos de configuración Cloudlanecdn(.)com y logAzure.txt es un primer paso rápido, y en los informes de Group-IB se incluye un conjunto completo de indicadores, incluidos hashes de archivos.
Ocultar comando y control en servicios confiables de Microsoft no es nada nuevo. Los atacantes ya han aprovechado esta vulnerabilidad a través de la bandeja de entrada de Outlook, la carpeta Borradores y OneDrive. El evento, que tuvo lugar en 2050 cuando nadie estaba mirando, es solo el último lugar que los defensores no han tenido motivos para investigar. Vale la pena mirar estas entradas del calendario del futuro lejano ahora, ya que aún se desconoce el nombre del operador y el tráfico de la víctima fluía tan recientemente como el 9 de julio.
Source link
