新型HollowGraph恶意软件利用Microsoft Graph对Microsoft 365账户进行隐蔽攻击

据 BleepingComputer（https://www.bleepingcomputer.com/news/security/new-hollowgraph-malware-uses-microsoft-graph-for-stealthy-c2-comms/）报道， 一种名为HollowGraph的新型恶意软件开发出了一种异常的方法来对Microsoft 365账户发起攻击。该恶意软件利用被攻陷的Microsoft 365邮箱中的日历功能，作为命令与控制通信（C2）的隐蔽渠道。

HollowGraph的工作原理

该恶意软件首先渗透入一个Microsoft 365账户，随后使用Microsoft Graph API访问权限来创建、读取或修改日历事件。通过这些日历事件，恶意软件接收攻击者的指令，同时可以以日程详情的形式回传被窃取的数据。这种方法使HollowGraph能够在数据流量中隐蔽活动，因为企业网络中的日历访问通常被视为无害。

该技术为何特别危险

利用Microsoft Graph作为C2渠道是一种创新且难以被发现的技术。由于Microsoft Graph是访问Microsoft 365服务的官方接口，其数据流量几乎不会引起注意。此外，攻击者借此绕过了许多针对可疑网络流量检测的传统安全机制。使用日历事件作为通信媒介也非常罕见，增加了安全解决方案分析和检测的难度。使用Microsoft 365的企业因此尤其容易受到威胁，因为恶意软件滥用了合法功能。

对企业和用户的影响

使用Microsoft 365的企业应当意识到这一新威胁。HollowGraph不仅能够窃取敏感数据，还能控制用户账户，从而发动更多攻击。通信的伪装使得快速识别和遏制感染变得困难。

防御建议

专家建议密切监控Microsoft Graph API的使用情况，分析日历访问中的异常活动。此外，企业应定期审查并保持Microsoft 365安全策略的最新状态。多因素认证（MFA）和严格的访问控制可以降低被攻陷的风险。与此同时，采用基于行为分析和异常检测的专业安全解决方案，有助于及早发现此类新型攻击。

结论

HollowGraph恶意软件展示了攻击者如何日益滥用合法的云服务。将安全机制整合进云环境并提高IT负责人警觉性，是抵御此类威胁、保障企业数据安全的关键。