HOLLOWGRAPH usa i calendari Microsoft 365 come canale C2 nascosto

🛡️ Executive Summary

• HOLLOWGRAPH usa eventi di calendario Microsoft 365 datati 2050 per ricevere comandi ed esfiltrare dati attraverso allegati cifrati.
• Il malware comunica tramite Graph API e mantiene un canale DNS secondario per aggiornare le credenziali Microsoft Entra ID.
• Dodici sistemi, concentrati in Israele, indicano un’operazione selettiva di spionaggio collegata con bassa confidenza all’ecosistema OilRig.

HOLLOWGRAPH trasforma il calendario di una casella Microsoft 365 compromessa in un canale bidirezionale di comando e controllo. Il malware, distribuito come DLL compilata con .NET NativeAOT, crea e consulta eventi datati 13 maggio 2050, recuperando istruzioni dagli allegati e caricando nello stesso spazio i dati esfiltrati. Tutte le operazioni transitano attraverso Microsoft Graph API, confondendosi con il normale traffico verso l’infrastruttura cloud Microsoft. L’analisi di dodici sistemi, prevalentemente israeliani, suggerisce una campagna mirata di spionaggio e collega con alta confidenza l’impianto al framework backdoor Cavern.

Il calendario diventa un dead-drop per comandi ed esfiltrazione

HOLLOWGRAPH utilizza gli eventi del calendario come contenitori remoti, evitando server C2 tradizionali direttamente riconducibili all’operatore. Per ricevere un comando, il malware interroga l’endpoint calendarView della Graph API su un intervallo temporale limitato al 13 maggio 2050, data sufficientemente lontana da non attirare l’attenzione del proprietario della casella. Gli eventi validi presentano nel subject la stringa “Event ID:” e contengono allegati denominati File{n}.txt, scaricati e decifrati prima di restituire il contenuto al loader. Per l’esfiltrazione, l’impianto crea invece un evento vuoto con subject inizialmente impostato su un GUID, carica gli allegati cifrati e modifica infine il titolo nel formato “Boss{..}ID{..}”, rendendolo riconoscibile agli operatori. L’abuso di servizi legittimi segue la stessa logica delle backdoor che utilizzano Microsoft Graph come infrastruttura C2 per nascondersi nel traffico aziendale, ma il calendario offre anche persistenza dei messaggi, allegati e sincronizzazione nativa tra cloud e client.

Cavern fornisce struttura modulare e tasking minimale

Il formato dei comandi, la gestione dei plugin e alcuni elementi di debug collegano HOLLOWGRAPH al framework Cavern. L’impianto espone soltanto due operazioni principali: get, utilizzata per recuperare il tasking, e send, impiegata per trasmettere i risultati. Gli argomenti vengono trasformati in un identificatore di sette caratteri che etichetta ogni scambio e permette di associare comandi, allegati e risposte. La DLL NativeAOT riduce inoltre la dipendenza dal runtime .NET installato e rende più complessa l’analisi rispetto a un assembly gestito tradizionale. La struttura modulare e l’uso di servizi cloud ricordano l’approccio osservato in GopherWhisper, che combina Slack, Discord e Microsoft Graph per attività di spionaggio. In entrambi i casi il canale di comunicazione non appare come traffico diretto verso un’infrastruttura sconosciuta, ma come attività verso piattaforme ampiamente autorizzate nei firewall aziendali.

RSA e AES proteggono gli allegati del canale covert

La comunicazione utilizza uno schema ibrido basato su RSA-OAEP e AES-256-GCM. Le istruzioni in ingresso vengono protette con una chiave AES, a sua volta cifrata con la chiave pubblica RSA associata all’agente. HOLLOWGRAPH usa la propria chiave privata per recuperare la chiave simmetrica e decifrare il payload. Il processo opposto protegge i dati in uscita con la chiave pubblica del server C2. Le coppie RSA da 2.048 bit sono separate per le due direzioni, riducendo la possibilità che la compromissione di una singola chiave esponga l’intero traffico.

Tenant ID, client ID, client secret di Microsoft Entra ID, mailbox target, dominio DNS e materiale crittografico vengono salvati nel file logAzure.txt, nome scelto per apparire come un normale log applicativo. La centralità delle credenziali OAuth richiama le campagne che abusano di Microsoft 365 e dei flussi identity-based per mantenere accesso persistente: una volta ottenuti i segreti applicativi, il malware può operare sulle API senza simulare continuamente l’interazione di un utente.

Il DNS tunneling aggiorna le credenziali Entra ID

HOLLOWGRAPH mantiene un canale secondario verso cloudlanecdn[.]com, utilizzato per ricevere nuovi parametri di configurazione quando le credenziali Microsoft vengono revocate o scadono. Le richieste DNS AAAA includono sottodomini composti da valori casuali, task ID, indice del campo e offset dei byte. Ogni risposta IPv6 trasporta 14 byte utili, successivamente riassemblati, decodificati e scritti in logAzure.txt. Il tunnel non applica ulteriore cifratura e utilizza la libreria DnsClient.NET, ma la frammentazione all’interno di risposte DNS può confondere controlli che analizzano soltanto domini e volumi aggregati. Il ricorso al DNS come fallback aumenta la resilienza dell’impianto: anche se l’accesso alla mailbox viene interrotto, l’operatore può aggiornare client secret, tenant o altri parametri senza distribuire nuovamente il malware. Le organizzazioni devono quindi correlare accessi Graph anomali e query AAAA ad alta entropia, superando il monitoraggio separato dei due canali.

Dodici vittime indicano uno spionaggio selettivo su Israele

Le comunicazioni osservate tra il 3 giugno e il 9 luglio 2026 coinvolgono dodici sistemi, dei quali soltanto tre ancora attivi al momento dell’analisi. La concentrazione geografica, la presenza di una mailbox israeliana e i caricamenti provenienti da Israele indicano un’operazione mirata, non una distribuzione opportunistica. Alcune somiglianze tecniche richiamano Lyceum, sottogruppo associato a OilRig, ma l’attribuzione resta a bassa confidenza. Il targeting è comunque coerente con le campagne di cyber-spionaggio iraniane contro Israele e il Medio Oriente e con l’uso di tool legittimi documentato nelle operazioni MuddyWater attive da diversi anni. Il rilevamento richiede audit sulle applicazioni OAuth2 client-credentials, ricerca di eventi datati 13 maggio 2050, allegati File{n}.txt, subject anomali e presenza di logAzure.txt. Devono inoltre essere ruotati i segreti Entra ID, limitati i permessi Graph e indirizzate tutte le richieste DNS verso resolver controllati. HOLLOWGRAPH dimostra che una piattaforma collaborativa fidata può diventare un canale C2 completo quando identità cloud, API e dati applicativi vengono monitorati come domini separati anziché come un’unica superficie di attacco.