Os piratas informáticos estão a descobrir formas cada vez mais criativas de contornar as defesas dos sistemas. Uma nova estirpe de malware, baptizada HOLLOWGRAPH, está a utilizar os calendários do Microsoft 365 para comunicar secretamente com os atacantes, disfarçando comandos maliciosos de simples convites. A descoberta foi partilhada num relatório do Group-IB, como avança o site Cybersecurity News.
Um esconderijo no futuro
O HOLLOWGRAPH é um componente compilado em .NET que abusa da API Microsoft Graph através de uma conta comprometida. Na prática, transforma o calendário da caixa de correio num ponto de troca de informações bidireccional e oculto. O software malicioso suporta apenas dois comandos, receber e enviar. Em vez de contactar um servidor externo suspeito, encaminha todo o tráfego através da infra-estrutura de nuvem de confiança da Microsoft, o que faz com que a actividade se misture com o tráfego normal das empresas.
Para evitar alertar o proprietário da conta, os operadores agendam todos os eventos maliciosos para 24 anos no futuro, mais concretamente para o dia 13 de Maio de 2050. Desta forma, as marcações nunca aparecem na agenda diária do utilizador. As instruções são plantadas como eventos de calendário, enquanto os ficheiros roubados são extraídos através da criação de eventos encriptados, com os dados ocultos nos anexos.
Tácticas de evasão e roubo de dados
Além do truque do calendário, o HOLLOWGRAPH utiliza um segundo canal oculto. Trata-se de um túnel DNS através de consultas de registos IPv6 AAAA para um domínio específico (cloudlanecdn[.]com). Este método permite que o malware actualize silenciosamente as credenciais de início de sessão do Microsoft Entra ID, guardando os novos valores num documento disfarçado de ficheiro de registo inofensivo, denominado logAzure.txt.
Todos os dados que circulam pelo canal da API Graph estão protegidos com encriptação híbrida RSA e AES-256-GCM. O sistema utiliza pares de chaves separados para os comandos recebidos e para os dados roubados que saem, garantindo que as duas direcções permanecem isoladas do ponto de vista criptográfico.
Alvos específicos e medidas de proteção
Os investigadores atribuem o HOLLOWGRAPH à estrutura de backdoor Cavern, um conjunto de ferramentas modulares associado a um grupo de ameaças com ligações ao Irão, conhecido como Cavern Manticore. Foram também detectadas semelhanças técnicas com o Lyceum, outro grupo de piratas informáticos iranianos ligado aos serviços de inteligência do país.
Esta não é uma campanha de grande escala. Foram identificados apenas doze sistemas infectados, com cerca de três a comunicar activamente com os atacantes durante o período de observação, que decorreu entre Junho e Julho de 2026. Todos os indicadores apontam para um foco restrito em organizações israelitas, sugerindo uma operação deliberada de espionagem e não um ataque oportunista.
Para detectar esta ameaça, as empresas devem adoptar as seguintes medidas preventivas:
- Procurar eventos de calendário agendados para 13 de Maio de 2050, prestando especial atenção a assuntos que sejam apenas GUIDs ou que sigam padrões de nomenclatura como “Event ID:” e “Boss{..}ID{..}”, bem como anexos nomeados como File{n}.txt.
- Auditar regularmente a actividade do Microsoft Graph para identificar alterações de calendário impulsionadas por aplicações de terceiros que não tenham sido autorizadas.
- Monitorizar os sistemas em busca de consultas DNS AAAA invulgares e vigiar a presença do domínio cloudlanecdn[.]com ou do ficheiro logAzure.txt.
- Reforçar a visibilidade na nuvem e apertar os controlos em torno das permissões de aplicações OAuth e das credenciais do Entra ID para detectar anomalias numa fase inicial.
