Il malware HollowGraph rappresenta un esempio avanzato di cyber espionage che sfrutta Microsoft 365 come infrastruttura di comando e controllo senza appoggiarsi a server degli attaccanti. La tecnica più insidiosa consiste nell’usare il calendario di una casella di posta compromessa come canale bidirezionale.
Gli operatori inseriscono istruzioni operative dentro eventi del calendario e recuperano dati rubati sotto forma di allegati, facendo transitare tutto tramite traffico legittimo verso Microsoft Graph API. In questo modo molte difese di rete basate su domini malevoli o su destinazioni sospette non rilevano nulla, perché le comunicazioni sembrano normali interazioni con servizi cloud Microsoft.
HollowGraph si presenta come una DLL .NET con un set minimo di comandi, get e send. Non scarica payload da infrastrutture esterne, ma interroga il calendario alla ricerca di un evento specifico posizionato in una data molto lontana nel futuro, come 2050-05-13. Questa scelta riduce la probabilità che l’utente noti l’evento scorrendo il calendario. Le istruzioni sono contenute in un file allegato all’evento. Per l’esfiltrazione dei dati, il flusso si ribalta: il malware cifra i file sottratti, crea un nuovo evento sempre datato nel futuro e carica i contenuti come uno o più allegati.
Un elemento chiave è la cifratura ibrida con RSA e AES-256, con coppie di chiavi distinte per i comandi in ingresso e per i dati in uscita. Questo rende più difficile ispezionare i contenuti anche quando si riesce a individuare l’anomalia a livello di calendario. In parallelo, HollowGraph mantiene attivo l’accesso a Graph recuperando via DNS parametri di autenticazione applicativa per Entra ID, come tenant ID, client ID, client secret e mailbox target. Questi valori vengono decodificati da record IPv6 AAAA e salvati in un file locale mascherato da log, logAzure.txt. A differenza del canale su Graph, questo passaggio DNS può avvenire in chiaro.
Dal punto di vista della sicurezza Microsoft 365 non si tratta di una vulnerabilità software da correggere con patch, ma di abuso di identità e permessi applicativi. La difesa passa da controllo delle app OAuth con credenziali client, auditing dei nuovi client secret, criteri di Conditional Access e monitoraggio delle modifiche al calendario generate da applicazioni.
Indicatori utili
- Eventi nel 2050
- Oggetti con subject simile a GUID
- Allegati denominati “File n.txt”
- Query DNS AAAA anomale
- Presenza del file “logAzure.txt”