Nowe złośliwe oprogramowanie HollowGraph wykorzystuje Microsoft Graph do ukrytych ataków na konta Microsoft 365

Jak podaje BleepingComputer (https://www.bleepingcomputer.com/news/security/new-hollowgraph-malware-uses-microsoft-graph-for-stealthy-c2-comms/), nowe złośliwe oprogramowanie o nazwie HollowGraph opracowało nietypową metodę przeprowadzania ataków na konta Microsoft 365. Malware wykorzystuje funkcję kalendarza w skompromitowanych skrzynkach pocztowych Microsoft 365 jako ukryty kanał do komunikacji Command-and-Control (C2).

Jak działa HollowGraph

Złośliwe oprogramowanie najpierw infiltruje konto Microsoft 365, a następnie korzysta z dostępu do Microsoft Graph API, aby tworzyć, odczytywać lub modyfikować zdarzenia kalendarza. Poprzez te terminy kalendarzowe malware odbiera polecenia od atakujących i jednocześnie może wysyłać skradzione dane w formie szczegółów terminów. Ta metoda pozwala HollowGraph poruszać się niezauważenie w ruchu sieciowym, ponieważ dostęp do kalendarza w sieciach firmowych jest często uznawany za nieszkodliwy.

Dlaczego ta technika jest szczególnie niebezpieczna

Wykorzystanie Microsoft Graph jako kanału C2 to innowacyjna i trudna do wykrycia technika. Ponieważ Microsoft Graph jest oficjalnym interfejsem do dostępu do usług Microsoft 365, ruch sieciowy praktycznie nie wzbudza podejrzeń. Ponadto atakujący omijają wiele tradycyjnych mechanizmów bezpieczeństwa, które są zaprojektowane do wykrywania podejrzanego ruchu sieciowego. Użycie zdarzeń kalendarza jako medium komunikacyjnego jest również nietypowe i utrudnia analizę oraz wykrywanie przez rozwiązania bezpieczeństwa. Firmy korzystające z Microsoft 365 są szczególnie narażone, ponieważ malware nadużywa legalnych funkcji.

Wpływ na firmy i użytkowników

Firmy korzystające z Microsoft 365 powinny być świadome nowego zagrożenia. HollowGraph może nie tylko wykradać wrażliwe dane, ale także przejmować kontrolę nad kontami użytkowników, umożliwiając dalsze ataki. Ukrywanie komunikacji utrudnia szybkie zidentyfikowanie i ograniczenie infekcji.

Zalecenia dotyczące obrony

Eksperci zalecają dokładne monitorowanie korzystania z Microsoft Graph API oraz analizę nietypowych aktywności związanych z dostępem do kalendarza. Ponadto firmy powinny regularnie przeglądać i aktualizować swoje polityki bezpieczeństwa dla Microsoft 365. Uwierzytelnianie wieloskładnikowe (MFA) oraz ścisła kontrola dostępu mogą zmniejszyć ryzyko kompromitacji. Dodatkowo warto stosować specjalistyczne rozwiązania bezpieczeństwa oparte na analizie zachowań i wykrywaniu anomalii, aby wcześnie wykrywać takie nowatorskie ataki.

Podsumowanie

Złośliwe oprogramowanie HollowGraph pokazuje, jak atakujący coraz częściej nadużywają legalnych usług chmurowych do swoich celów. Integracja mechanizmów bezpieczeństwa w środowiskach chmurowych oraz podnoszenie świadomości osób odpowiedzialnych za IT są kluczowe, aby przeciwdziałać takim zagrożeniom i zapewnić ochronę danych firmowych.