HollowGraph dùng sự kiện lịch Microsoft 365 (năm 2050) làm kênh C2 và rò rỉ dữ liệu
"Researchers reported HollowGraph, a .NET espionage implant that abuses Microsoft 365 calendar events and the Microsoft Graph API to receive commands and exfiltrate encrypted files via attachments on far-future events dated 2050-05-13. The malware also uses DNS-based retrieval of Entra ID client credentials and was observed on at least 12 machines; there is no Microsoft software vulnerability or patch, so mitigation focuses on identity hardening, OAuth app auditing, and monitoring Graph/mailbox activity."
Tác động chủ yếu là chiếm quyền qua tài khoản/ứng dụng và rò rỉ dữ liệu bằng cách ẩn C2 trong lưu lượng hợp lệ của Microsoft 365; điểm then chốt gồm kênh lịch năm 2050, exfil qua đính kèm Graph, và lấy bí mật OAuth qua DNS.
Nguy cơ vận hành đến từ việc dữ liệu bị lấy cắp có thể ảnh hưởng bí mật kinh doanh và tuân thủ; điểm cần chú ý là khó phát hiện do lưu lượng hợp pháp, phạm vi lây nhiễm tối thiểu 12 máy, và không có bản vá từ phía nhà cung cấp nên cần siết kiểm soát nhận dạng/ứng dụng.
Nhà nghiên cứu của Group-IB công bố HollowGraph, một implant gián điệp viết bằng .NET, khai thác Microsoft 365 Calendar và Microsoft Graph API để nhận lệnh và trích xuất dữ liệu. Điểm đáng chú ý là kênh điều khiển được “ngụy trang” trong các sự kiện lịch được đặt ngày 2050-05-13, khiến người dùng khó phát hiện vì không có lý do để xem các mốc thời gian xa như vậy.
HollowGraph chỉ hỗ trợ hai lệnh get và send. Để nhận nhiệm vụ, mã đọc nội dung hướng dẫn từ tệp đính kèm của sự kiện lịch do kẻ tấn công tạo. Để rò rỉ, mã mã hóa dữ liệu bị đánh cắp và tạo sự kiện lịch tương lai để tải lên dưới dạng đính kèm. Dữ liệu di chuyển qua lịch được bọc lai RSA và AES-256, với cặp khóa tách biệt cho luồng vào/ra.
Ngoài ra, implant duy trì quyền truy cập Graph bằng kênh DNS: nó lấy thông tin đăng nhập ứng dụng Entra ID (tenant ID, client ID, client secret và mailbox đích) từ bản ghi IPv6 AAAA, mã hóa cấu hình vào tệp logAzure.txt. Nhóm cũng khuyến nghị rà soát các sự kiện lịch bất thường, đặc biệt chủ đề là GUID và tên tệp đính kèm theo mẫu File{n}.txt, đồng thời kiểm toán OAuth app và giám sát hoạt động mailbox/Graph do ứng dụng thực hiện.