HollowGraph: malware iraniano usa calendário do Microsoft 365 como canal de C2

Um novo malware chamado HollowGraph transforma o calendário de uma conta Microsoft 365 em canal de comando e controle bidirecional. Operadores plantam tarefas como eventos de calendário; o implante devolve arquivos exfiltrados como anexos em novos eventos, todos datados para 13 de maio de 2050 para escapar do olho da vítima. A Group-IB identificou 12 vítimas, três ainda em comunicação ativa, e atribui o toolkit com baixa confiança ao subgrupo iraniano Lyceum, também conhecido como Hexane e SiameseKitten.

O que aconteceu

A Group-IB documentou o HollowGraph em relatório publicado em 21 de julho de 2026. O malware faz parte de um toolkit maior, provavelmente ligado ao Cavern Manticore, ator com nexo iraniano descrito pela Check Point no início do mês. O uso confirmado começou em 3 de junho — o que dá pouco mais de um mês e meio de operação silenciosa antes da exposição pública.

Os indicadores apontam para foco em Israel: a caixa de correio usada para exfiltração está registrada no país e as amostras de malware analisadas pela Group-IB foram enviadas de origens israelenses. A empresa aponta que o padrão sugere interesse específico, não campanha oportunista.

Como o C2 via calendário funciona

A arquitetura é engenhosa e faz um estrago silencioso na filosofia de detecção baseada em tráfego suspeito. O HollowGraph nunca contata um servidor controlado pelos atacantes para receber payload — todo o diálogo acontece contra endpoints legítimos da Microsoft via Graph API. Do ponto de vista do proxy corporativo ou do firewall, é tráfego para graph.microsoft.com, indistinguível do que gera qualquer aplicação Office 365 normal.

O implante tem apenas dois comandos suportados: “send” cria eventos com arquivos anexados (é assim que o dado exfiltrado sai) e “get” busca eventos plantados pelo operador para baixar novas instruções. É simples de implementar e brutalmente eficaz para escapar de análises comportamentais que procuram beacons, jitter regular ou domínios suspeitos.

“Usando a Microsoft Graph API, ele trata a caixa comprometida como um dead-drop de duas vias: operadores plantam tarefas como eventos e o implante exfiltra arquivos criando seus próprios eventos com dados criptografados em anexo”, explica a Group-IB.

O truque para permanecer invisível ao dono da caixa comprometida é usar uma data absurdamente futura — 13 de maio de 2050 — para todos os eventos. Isso empurra tudo para fora da visualização padrão de calendário e evita gerar notificações. A configuração hardcoded do malware (tenant ID do Entra ID, client ID e secret, endereço de e-mail alvo, domínio de C2 secundário e duas chaves RSA) é gravada em disco como logAzure.txt. Um canal secundário de DNS tunneling atualiza configuração e credenciais quando necessário.

Atribuição: por que a baixa confiança importa

Pelo formato de comando e estrutura, a Group-IB acredita que o HollowGraph é uma variante do framework Cavern, mas atribui a atividade — com baixa confiança explícita — ao subgrupo iraniano Lyceum (também conhecido como Hexane ou SiameseKitten), ligado ao MOIS via OilRig. A empresa é clara: existem semelhanças técnicas com Lyceum, mas nenhuma delas é suficientemente única para uma atribuição de alta confiança.

Essa transparência é bem-vinda num mercado onde a pressão comercial empurra para atribuições dramáticas. O consumidor operacional de threat intel deve ler “baixa confiança” como o que ela é: um sinal para investigar mais, não um selo de origem.

Quem é afetado

• 12 vítimas identificadas, três ainda em comunicação ativa com a infraestrutura dos atacantes no momento do relatório.
• Foco em entidades israelenses, com indícios técnicos consistentes: mailbox de exfiltração em Israel e amostras enviadas do país.
• Qualquer organização usando Microsoft 365 é potencialmente exposta ao vetor — se o atacante consegue comprometer uma conta com escopo apropriado do Graph API, o modelo replica.
• Ambientes com regras de DLP focadas em anexos de e-mail e proxy filtering são particularmente vulneráveis a essa técnica, que passa pelo Graph e não pelo SMTP.

Análise

O HollowGraph pertence a uma linhagem que ganha peso em 2026: C2 sobre serviços legítimos de nuvem. Antes foram GitHub Gists, Google Drive, Notion e OneNote. Agora, a Microsoft Graph API — a mesma superfície que centenas de aplicações empresariais consomem diariamente. O ataque não é criativo por acaso: é a resposta natural a ambientes cada vez mais cegos para tráfego externo fora do stack Microsoft, que trata graph.microsoft.com como confiável por default.

Duas comparações ajudam a dimensionar. O primeiro paralelo é com o SUNBURST (SolarWinds), que usou beacons DNS lentos e tráfego de update legítimo para atravessar controles. O segundo é com o APT29/BlueBravo, que já em 2022 experimentou canais via Notion e Trello. A diferença qualitativa do HollowGraph é a fluência com o modelo de eventos de calendário: usar campo customizado de anexo, embarcar cripto RSA na configuração e datar tudo para 2050. É engenharia inteligente sobre um serviço que quase ninguém audita a fundo.

Para o defensor, o problema é bem prático: detectar isso exige logs de auditoria do Microsoft 365 (Unified Audit Log) com retenção adequada — coisa que, no mundo real, raramente sobrevive além dos 90 dias padrão. A janela entre comprometimento e detecção do HollowGraph, se replicada em outros alvos, é maior que essa retenção. O ataque foi observado desde junho; se você é vítima e não tem UAL retido, o rastro sumiu antes de você ter chance de olhar.

Recomendações práticas

• Retenção estendida do Unified Audit Log: mova o padrão de 90 dias para pelo menos 1 ano. Sem isso, você não caça HollowGraph — você descobre por relatório de terceiro.
• Monitore criação atípica de eventos de calendário: volume alto de eventos criados por um mesmo principal, com anexos grandes, para datas remotas (2040+) — todos são anomalias detectáveis via Microsoft Purview ou Sentinel.
• Audite Enterprise Applications e service principals: HollowGraph precisa de credenciais Entra ID com permissões Graph (Calendars.ReadWrite, Files.ReadWrite). Reveja consentimentos concedidos por usuários e o inventário de client secrets.
• Alertas em client secret e certificate creation: cada nova credencial de aplicativo Entra ID deve ser revisada. Muitas operações de C2 sobre Graph começam nesse passo.
• Procure logAzure.txt em disco: IoC direto do HollowGraph. Rode busca em endpoints Windows.
• Restrinja permissões Graph ao mínimo necessário: aplique o princípio do least privilege em cada Enterprise App. Delegated Calendars.ReadWrite raramente precisa ser concedido de forma ampla.
• Detecção de DNS tunneling: HollowGraph tem canal DNS de backup. Sensores de DNS com análise de entropia e frequência ajudam.

Fonte: SecurityWeek