Nouveau malware HollowGraph utilise Microsoft Graph pour des attaques furtives sur les comptes Microsoft 365

Comme le rapporte BleepingComputer (https://www.bleepingcomputer.com/news/security/new-hollowgraph-malware-uses-microsoft-graph-for-stealthy-c2-comms/), un nouveau logiciel malveillant nommé HollowGraph a développé une méthode inhabituelle pour mener des attaques sur des comptes Microsoft 365. Le malware utilise la fonction calendrier dans des boîtes aux lettres Microsoft 365 compromises comme canal caché pour la communication Command-and-Control (C2).

Comment fonctionne HollowGraph Le malware infiltre d'abord un compte Microsoft 365, puis utilise l'accès à l'API Microsoft Graph pour créer, lire ou modifier des événements de calendrier. Par ces rendez-vous, le logiciel malveillant reçoit des commandes des attaquants et peut simultanément renvoyer des données volées sous forme de détails d'événements. Cette méthode permet à HollowGraph de se déplacer discrètement dans le trafic de données, car les accès au calendrier sont souvent considérés comme inoffensifs dans les réseaux d'entreprise.

Pourquoi cette technique est particulièrement dangereuse L'utilisation de Microsoft Graph comme canal C2 est une technique innovante et difficile à détecter. Étant donné que Microsoft Graph est une interface officielle pour accéder aux services Microsoft 365, le trafic passe presque inaperçu. De plus, les attaquants contournent ainsi de nombreux mécanismes de sécurité traditionnels conçus pour détecter un trafic réseau suspect. L'utilisation d'événements de calendrier comme moyen de communication est également inhabituelle, ce qui complique l'analyse et la détection par les solutions de sécurité. Les entreprises utilisant Microsoft 365 sont donc particulièrement vulnérables, car le malware abuse de fonctions légitimes.

Impact sur les entreprises et les utilisateurs Les entreprises utilisant Microsoft 365 doivent être conscientes de cette nouvelle menace. HollowGraph peut non seulement exfiltrer des données sensibles, mais aussi prendre le contrôle des comptes utilisateurs, permettant ainsi d'autres attaques. Le camouflage de la communication complique l'identification rapide et la limitation de l'infection.

Recommandations pour la défense Les experts recommandent de surveiller attentivement l'utilisation des API Microsoft Graph et d'analyser les activités inhabituelles liées aux accès au calendrier. De plus, les entreprises devraient régulièrement revoir et mettre à jour leurs politiques de sécurité pour Microsoft 365. L'authentification multi-facteurs (MFA) et un contrôle d'accès strict peuvent réduire le risque de compromission. Par ailleurs, l'utilisation de solutions de sécurité spécialisées basées sur l'analyse comportementale et la détection d'anomalies est judicieuse pour détecter tôt ce type d'attaques innovantes.

Conclusion Le malware HollowGraph illustre comment les attaquants exploitent de plus en plus les services cloud légitimes à leurs fins. L'intégration de mécanismes de sécurité dans les environnements cloud et la sensibilisation des responsables informatiques sont essentielles pour contrer ces menaces et garantir la protection des données d'entreprise.