O malware HollowGraph representa uma nova geração de ameaças avançadas que exploram serviços legítimos de computação em nuvem para ocultar atividades maliciosas. Em vez de depender de servidores de comando e controle (C2) tradicionais, facilmente bloqueados por soluções de segurança, essa ameaça utiliza recursos cotidianos do Microsoft 365, transformando eventos de calendário e a API Microsoft Graph em canais discretos para receber instruções e transmitir informações roubadas.
Essa abordagem demonstra uma mudança importante no cenário da ciberespionagem. À medida que empresas concentram dados e aplicações em plataformas de nuvem, invasores passam a abusar exatamente dessas infraestruturas confiáveis para reduzir sua visibilidade. O resultado é um malware capaz de operar por longos períodos sem despertar suspeitas, mesmo em ambientes corporativos protegidos.
Neste artigo, você entenderá como funciona o HollowGraph, por que ele utiliza o Microsoft Graph, como o tunelamento DNS via IPv6 complementa sua infraestrutura de comunicação e quais medidas administradores de sistemas podem adotar para detectar e mitigar essa ameaça antes que ela comprometa informações sensíveis.
O que é o HollowGraph e como ele usa o Microsoft Graph
O HollowGraph é um malware desenvolvido para operações de ciberespionagem que substitui servidores C2 tradicionais por serviços oficiais da Microsoft. Em vez de estabelecer conexões suspeitas com domínios desconhecidos, o código malicioso interage diretamente com a API Microsoft Graph, utilizando credenciais válidas para acessar recursos do Microsoft 365.
Essa estratégia oferece uma vantagem significativa aos atacantes. Como o tráfego é direcionado aos próprios servidores da Microsoft, firewalls, proxies e soluções de inspeção frequentemente classificam essas conexões como legítimas, reduzindo drasticamente as chances de bloqueio automático.
Outro aspecto que chama atenção é a utilização de um arquivo aparentemente inocente chamado logAzure.txt. Embora possa parecer apenas um arquivo de configuração, ele contém informações utilizadas pelo malware para autenticar-se junto ao ambiente Microsoft Entra ID e obter acesso autorizado à API do Microsoft Graph.
Na prática, o malware passa a agir como um aplicativo aparentemente legítimo dentro do ambiente Microsoft, explorando permissões OAuth para consultar informações, recuperar comandos e manter comunicação constante com a infraestrutura controlada pelos invasores.
Essa técnica evidencia uma tendência crescente no cenário das ameaças modernas: o abuso de identidades confiáveis em vez da exploração direta de vulnerabilidades.
Eventos no calendário programados para 2050 como ponto de entrega secreto
Uma das características mais engenhosas do malware HollowGraph é o uso do Calendário do Microsoft 365 como mecanismo de entrega de comandos.
Após obter acesso à conta comprometida, os operadores criam eventos agendados para datas extremamente distantes, normalmente no ano de 2050. Esse detalhe não é aleatório.
Eventos tão distantes dificilmente serão visualizados por usuários durante o uso cotidiano do calendário. Dessa forma, eles funcionam como compartimentos ocultos para armazenar dados necessários ao funcionamento da ameaça.
Sempre que precisa receber novas instruções, o malware consulta esses eventos utilizando chamadas legítimas à Microsoft Graph API. Como toda a comunicação ocorre através da infraestrutura oficial da Microsoft, a atividade se mistura ao tráfego normal da organização.
Essa abordagem elimina a necessidade de servidores C2 convencionais e reduz significativamente os indicadores tradicionais utilizados por ferramentas de detecção.
Os comandos criptografados e a estrutura dos anexos
Os eventos de calendário não armazenam comandos em texto simples.
Os operadores inserem dados criptografados em campos específicos do evento ou em anexos associados. Quando o malware consulta o calendário, ele baixa essas informações, realiza a descriptografia localmente e executa as instruções recebidas.
Entre as tarefas que podem ser distribuídas estão:
- Coleta de arquivos
- Execução de comandos
- Captura de informações do sistema
- Exfiltração de dados
- Atualização da própria carga maliciosa
O uso de criptografia garante que mesmo administradores que visualizem os eventos encontrem apenas sequências aparentemente aleatórias de caracteres, dificultando análises superficiais.
Além disso, como toda a comunicação permanece encapsulada em chamadas legítimas ao Microsoft Graph, ferramentas tradicionais baseadas apenas em reputação de domínio ou endereço IP apresentam dificuldades para identificar o comportamento malicioso.
Tunelamento DNS via IPv6 e criptografia híbrida
Embora o Microsoft Graph seja utilizado como principal canal de comunicação, o HollowGraph incorpora um segundo mecanismo para aumentar sua resiliência operacional.
O malware realiza tunelamento DNS utilizando consultas do tipo AAAA, normalmente empregadas para resolução de endereços IPv6. Em vez de utilizar apenas a função tradicional do DNS, essas consultas servem para recuperar pequenas informações codificadas que permitem atualizar parâmetros internos do malware.
Esse método oferece diversas vantagens aos invasores.
Como consultas DNS fazem parte do funcionamento normal de qualquer rede corporativa, pequenas alterações em registros podem passar despercebidas, principalmente quando a organização não realiza inspeção detalhada do tráfego DNS.
Outro componente sofisticado é seu modelo de criptografia híbrida.
As amostras analisadas utilizam uma combinação de RSA para troca segura de chaves e AES-256-GCM para proteger os dados transmitidos entre o malware e a infraestrutura controlada pelos operadores.
Essa combinação oferece dois benefícios principais.
O RSA permite estabelecer comunicações seguras mesmo em ambientes não confiáveis, enquanto o AES-256-GCM fornece confidencialidade, autenticação e integridade dos dados durante toda a sessão.
Como consequência, mesmo que o tráfego seja capturado por soluções de monitoramento, seu conteúdo permanece protegido contra análise direta.
Essa arquitetura demonstra um nível elevado de planejamento e reforça que campanhas modernas de ciberespionagem estão cada vez mais próximas das técnicas empregadas por grupos patrocinados por Estados e operações altamente organizadas.
Como proteger sua organização contra o HollowGraph
O combate ao malware HollowGraph exige uma estratégia baseada em identidade, monitoramento contínuo e análise comportamental, em vez da simples inspeção de endereços IP.
O primeiro passo consiste em ampliar a visibilidade sobre as chamadas realizadas à Microsoft Graph API. Logs de auditoria devem ser monitorados continuamente para identificar padrões incomuns de acesso, especialmente aplicações desconhecidas realizando consultas frequentes ao calendário corporativo.
Também é fundamental revisar regularmente todas as permissões OAuth concedidas no ambiente Microsoft Entra ID. Aplicativos excessivamente permissivos ou pouco utilizados merecem investigação imediata, principalmente quando solicitam acesso a calendários, arquivos ou caixas de correio.
Outra prática recomendada envolve a implementação de políticas de Acesso Condicional. Exigir autenticação multifator (MFA), restringir logins provenientes de dispositivos não gerenciados e limitar permissões administrativas reduzem significativamente a superfície de ataque.
No ambiente de rede, administradores devem monitorar consultas DNS AAAA incomuns, principalmente aquelas destinadas a domínios pouco conhecidos ou que apresentem padrões repetitivos incompatíveis com o comportamento normal da organização.
Ferramentas modernas de EDR, XDR e plataformas SIEM também desempenham papel importante ao correlacionar eventos provenientes da rede, do sistema operacional e da plataforma Microsoft 365.
Outro cuidado essencial é acompanhar atividades relacionadas ao calendário corporativo. Eventos criados automaticamente para datas extremamente futuras, especialmente contendo anexos incomuns ou grandes volumes de dados, devem ser tratados como potenciais indicadores de comprometimento.
Por fim, equipes de segurança precisam investir em programas contínuos de Threat Hunting, buscando sinais de abuso das APIs em nuvem. A tendência atual mostra que invasores estão abandonando infraestruturas próprias para utilizar serviços legítimos como canais de comunicação, tornando a análise comportamental cada vez mais importante.
Conclusão e o futuro do abuso de APIs em nuvem
O malware HollowGraph demonstra como o cenário de ameaças está evoluindo rapidamente. Em vez de explorar apenas vulnerabilidades tradicionais, operadores passaram a transformar plataformas amplamente utilizadas, como o Microsoft 365, em componentes da própria infraestrutura de ataque.
O uso combinado da Microsoft Graph API, de eventos ocultos no calendário, do tunelamento DNS via IPv6 e da criptografia híbrida cria uma cadeia de comunicação extremamente discreta, capaz de contornar diversos mecanismos convencionais de defesa.
Para administradores de sistemas, analistas de segurança e equipes de resposta a incidentes, essa ameaça reforça a necessidade de ampliar o foco da proteção. Não basta monitorar apenas endpoints e conexões externas. É indispensável compreender o comportamento das identidades, das APIs e dos serviços em nuvem utilizados diariamente pela organização.
À medida que plataformas corporativas se tornam mais integradas e automatizadas, o abuso dessas APIs tende a crescer. Preparar processos de auditoria, revisar permissões continuamente e investir em monitoramento inteligente será decisivo para impedir que ameaças semelhantes permaneçam invisíveis dentro da infraestrutura corporativa.
Se esta análise foi útil para sua equipe, compartilhe este conteúdo com outros profissionais de TI e participe da discussão nos comentários. A troca de conhecimento é uma das melhores ferramentas para fortalecer a segurança em ambientes de nuvem cada vez mais complexos.
