Nuevo malware HollowGraph utiliza Microsoft Graph para ataques encubiertos a cuentas de Microsoft 365

Según informa BleepingComputer (https://www.bleepingcomputer.com/news/security/new-hollowgraph-malware-uses-microsoft-graph-for-stealthy-c2-comms/), un nuevo malware llamado HollowGraph ha desarrollado un método inusual para llevar a cabo ataques contra cuentas de Microsoft 365. El malware utiliza la función de calendario en buzones de Microsoft 365 comprometidos como un canal oculto para la comunicación de mando y control (C2).

Cómo funciona HollowGraph El malware primero infiltra una cuenta de Microsoft 365 y luego utiliza el acceso a la API de Microsoft Graph para crear, leer o modificar eventos del calendario. A través de estas citas en el calendario, el malware recibe comandos de los atacantes y al mismo tiempo puede enviar datos robados en forma de detalles de eventos. Este método permite a HollowGraph moverse de manera sigilosa en el tráfico de datos, ya que los accesos al calendario en redes empresariales suelen considerarse inofensivos.

Por qué esta técnica es especialmente peligrosa El uso de Microsoft Graph como canal C2 es una técnica innovadora y difícil de detectar. Dado que Microsoft Graph es una interfaz oficial para acceder a los servicios de Microsoft 365, el tráfico de datos pasa casi desapercibido. Además, los atacantes evitan muchos mecanismos de seguridad tradicionales diseñados para detectar tráfico de red sospechoso. El uso de eventos del calendario como medio de comunicación también es inusual y dificulta el análisis y la detección por parte de soluciones de seguridad. Las empresas que utilizan Microsoft 365 están especialmente en riesgo, ya que el malware abusa de funciones legítimas.

Impacto en empresas y usuarios Las empresas que usan Microsoft 365 deben estar conscientes de esta nueva amenaza. HollowGraph no solo puede exfiltrar datos sensibles, sino también tomar el control de cuentas de usuario y así permitir ataques adicionales. El camuflaje de la comunicación dificulta la rápida identificación y contención de la infección.

Recomendaciones para la defensa Los expertos aconsejan monitorear cuidadosamente el uso de las APIs de Microsoft Graph y analizar actividades inusuales en los accesos al calendario. Además, las empresas deben revisar y mantener actualizadas sus políticas de seguridad para Microsoft 365. La autenticación multifactor (MFA) y un control de acceso estricto pueden reducir el riesgo de compromiso. Asimismo, es recomendable emplear soluciones de seguridad especializadas que se basen en análisis de comportamiento y detección de anomalías para identificar tempranamente este tipo de ataques novedosos.

Conclusión El malware HollowGraph demuestra cómo los atacantes abusan cada vez más de servicios legítimos en la nube para sus fines. La integración de mecanismos de seguridad en entornos cloud y la concienciación de los responsables de TI son fundamentales para repeler estas amenazas y proteger los datos empresariales.