Chiến dịch HOLLOWGRAPH dùng lịch Microsoft 365 làm kênh C2 ẩn
"Researchers at Group-IB identified HOLLOWGRAPH, a targeted espionage malware campaign that uses compromised Microsoft 365 calendars and the Microsoft Graph API as a covert command-and-control channel. The malware stores encrypted instructions in calendar events dated May 13, 2050, exfiltrates stolen files via new appointments, and refreshes Entra ID credentials through DNS tunneling; no Microsoft 365 or Graph vulnerability is being exploited."
Tác động đáng kể vì kẻ tấn công có thể ẩn C2 trong Microsoft 365 và Graph API, đồng thời duy trì quyền truy cập bằng DNS tunneling để lấy Entra ID credentials; không cần khai thác lỗ hổng trong nền tảng.
Nguy cơ rò rỉ dữ liệu và gián đoạn điều tra do kênh điều khiển “trông như hoạt động hợp lệ” trong lịch; phạm vi quan sát được là 12 hệ thống và chỉ 3 hệ thống liên lạc với mailbox bị xâm phạm trong giai đoạn theo dõi.
Các nhà nghiên cứu từ Group-IB phát hiện chiến dịch gián điệp mục tiêu HOLLOWGRAPH sử dụng Microsoft 365 calendars và Microsoft Graph API làm kênh command-and-control (C2) kín đáo. Thay vì liên hệ tới hạ tầng do kẻ tấn công kiểm soát, mã độc đọc lệnh được nhúng trong các sự kiện lịch và trả lại dữ liệu bị đánh cắp thông qua các cuộc hẹn mới.
Theo báo cáo, mọi sự kiện do HOLLOWGRAPH tạo ra đều được gắn ngày May 13, 2050, nhằm tận dụng phần “ít được chú ý” trong lịch để lưu tải trọng mã hóa. Mã độc không khai thác lỗ hổng trong Microsoft 365 hay Microsoft Graph; thay vào đó, nó “hòa trộn” lưu lượng điều khiển vào các yêu cầu Graph hợp lệ của ứng dụng Microsoft 365.
Thành phần malware cũng được mô tả là thu thập lệnh từ một sự kiện lịch, lưu tệp bị đánh cắp vào một sự kiện khác, đồng thời định kỳ lấy Entra ID credentials qua DNS tunneling để duy trì khả năng liên lạc. Nhóm nghiên cứu liên hệ chiến dịch với Cavern framework và ghi nhận điểm tương đồng ở mức thấp với nhóm gián điệp Lyceum.
Khuyến nghị: rà soát hoạt động lịch bất thường (sự kiện tạo trong tương lai xa, đính kèm/metadata lạ), giám sát truy cập Graph theo ngữ cảnh ứng dụng, và kiểm tra dấu hiệu DNS tunneling cũng như luồng cấp phát/refresh token bất thường.