Malware iraniano explora calendários do Microsoft 365 para comando e controle
Aprofundamento CEVIU
Aprofundamento
A mais recente descoberta de cibersegurança acende um alerta vermelho para a defesa corporativa. O malware HollowGraph, ligado ao cluster de espionagem iraniano Lyceum e ao framework Cavern Manticore, redesenha o conceito de ataque ao eliminar a infraestrutura de Comando e Controle (C2) tradicional. Em vez de servidores próprios, o HollowGraph usa os calendários do Microsoft 365 da própria vítima, via Graph API, para receber ordens e exfiltrar dados, tornando-se praticamente invisível aos métodos de detecção convencionais.
O implante é sofisticado: emprega criptografia híbrida RSA e AES-256-GCM para proteger a comunicação. Ele também tunela credenciais do Entra ID (o antigo Azure AD) via DNS, um método que busca ocultar a extração de informações sensíveis. Esta técnica de "subtraction attack" ou "dead drop", como a fonte descreve, é preocupante, pois se aproveita de infraestrutura legítima e indispensável para a empresa, dificultando qualquer bloqueio sem inviabilizar a operação.
O que mudou
A cobertura anterior do CEVIU já indicava a evolução do cenário. Em 21 de julho de 2026, noticiamos a Campanha HOLLOWGRAPH, que usava eventos de calendário com datas futuras para ocultar comandos. Agora, a nova notícia detalha como essa técnica funciona, especificando o uso da Graph API e a sofisticação da criptografia empregada (RSA + AES-256-GCM).
Também já havíamos abordado em 14 de julho de 2026 a descoberta do "Cavern Manticore" pela Check Point, identificando-o como um framework C2 modular iraniano. A informação de hoje confirma o HollowGraph como um módulo dentro do Cavern, validando a atribuição e mostrando a capacidade dos atacantes de construir ferramentas especializadas que se integram a um ecossistema de ataque maior, resolvendo o complexo problema de comunicação sem uma infraestrutura própria.
Por que isso importa
O HollowGraph representa uma ruptura nas estratégias de defesa tradicionais. Métodos baseados em blocklists de IPs, domínios ou detecção de anomalias em tráfego de C2 externo são ineficazes, já que o malware opera inteiramente dentro do ecossistema Microsoft 365. Isso força as empresas a uma mudança de paradigma na segurança, passando do monitoramento de rede para uma vigilância intensiva no comportamento de identidades e APIs.
A nova frente de batalha está nos logs de auditoria do Microsoft 365 e nos logs de sign-in do Graph. É crucial detectar atividades não-humanas, como a criação, leitura e exclusão de eventos de calendário em "cadência de máquina", ou anexos binários em compromissos. Este ataque sublinha a necessidade de uma gestão de identidade e acesso (IAM) robusta e de soluções de detecção e resposta (EDR/XDR) que consigam correlacionar eventos comportamentais em plataformas de nuvem.
Linha do tempo
O grupo MuddyWater, ligado ao Irã, lança campanha 'Operação Olalampo' com novas cepas de malware.
O grupo Seedworm (MuddyWater) ataca redes de um banco, aeroporto e empresa de software nos EUA.
O APT Seedworm (MuddyWater) usa sideloading de DLLs maliciosas abusando de binários da Fortemedia e SentinelOne.
A Check Point Research revela o framework "Cavern Manticore", ligado ao MOIS iraniano e ao subgrupo Lyceum.
CEVIU News publica sobre a campanha HOLLOWGRAPH usando calendários do Microsoft 365 para ocultar comandos.
Malware iraniano HollowGraph explora calendários do Microsoft 365 para Comando e Controle sem servidor C2 tradicional.
Perguntas frequentes
O que é o malware HollowGraph?
HollowGraph é um malware iraniano que faz parte do framework Cavern Manticore, atribuído ao cluster de espionagem Lyceum. Sua principal inovação é usar os calendários do Microsoft 365 da própria vítima, via Graph API, como canal de Comando e Controle (C2), em vez de uma infraestrutura externa.
Por que o HollowGraph é tão difícil de detectar com as defesas tradicionais?
Ele opera usando canais legítimos do Microsoft 365, fazendo com que o tráfego pareça ser da própria plataforma com a Microsoft. Isso dribla firewalls e filtros de e-mail, pois não há IPs ou domínios maliciosos para bloquear, e a comunicação ocorre dentro do ambiente de confiança da vítima.
O que é a abordagem de "dead drop" no contexto de cibersegurança?
É uma técnica na qual o atacante e o malware se comunicam usando um local intermediário e confiável que ambos podem acessar, sem nunca se conectar diretamente. No caso do HollowGraph, o calendário do Microsoft 365 atua como esse "local de entrega", dificultando a interceptação e atribuição.
Como as organizações podem detectar uma infecção por HollowGraph?
A detecção exige análise comportamental nos logs do Microsoft 365 e do Graph API. As empresas devem buscar por atividades não-humanas, como manipulação automatizada de eventos de calendário, anexos incomuns em compromissos, e padrões anormais de acesso ao Graph API, além de observar o tunelamento DNS para exfiltração de credenciais.
Fontes
- dugganusa.comfonte original
- Categoria
- CEVIU Segurança da Informação
- Publicado
- 11 de agosto de 2026
- Editoria
- CEVIU Segurança da Informação