Les calendriers Microsoft 365 sont devenus la dernière cachette des logiciels malveillants d’espionnage, les attaquants dissimulant des commandes et des fichiers volés dans des rendez-vous datés de 24 ans.
Les chercheurs du Group-IB déclarent avoir découvert un composant malveillant qu’ils appellent HOLLOWGRAPH qui remplace le serveur de commande et de contrôle habituel par quelque chose de moins visible : un calendrier Microsoft 365 compromis.
Au lieu de demander des instructions à l’infrastructure contrôlée par l’attaquant, l’implant fouille dans les événements du calendrier, récupère les tâches cryptées et dépose les fichiers volés dans de nouveaux rendez-vous pour que ses opérateurs puissent les récupérer plus tard.
AD ENREGISTREMENT
Chaque événement créé par HOLLOWGRAPH est daté du 13 mai 2050, un coin autrement vide du journal où les pièces jointes cryptées sont moins susceptibles d’attirer l’attention. HOLLOWGRAPH n’exploite pas tant Microsoft Graph qu’il s’y fond, en englobant son trafic de commande et de contrôle dans des requêtes API Graph légitimes qui ressemblent à n’importe quelle autre application Microsoft 365 communiquant avec le cloud.
AD ENREGISTREMENT
Le malware lui-même est relativement simple. Group-IB affirme qu’il ne fait guère plus que récupérer les instructions d’un événement du calendrier, stocker les fichiers volés dans un autre et récupérer périodiquement de nouvelles informations d’identification Entra ID via un canal de tunnel DNS afin que les communications basées sur Graph continuent de fonctionner.
La société de sécurité a lié le malware au framework Cavern avec une grande confiance après avoir trouvé des formats de commande correspondants et d’autres détails d’implémentation. Il a également repéré des similitudes avec le groupe d’espionnage lié à l’Iran Lyceum, bien qu’il ne soit pas allé jusqu’à imputer l’opération à cet équipage, affirmant que la connexion n’était soutenue qu’avec une faible confiance.
« HOLLOWGRAPH représente une menace d’espionnage avancée et hautement ciblée », a écrit Group-IB. « En abusant des calendriers Microsoft 365 fiables via l’API Microsoft Graph et en actualisant ses informations d’authentification cloud via le tunneling DNS, le malware dissimule son commandement et son contrôle au sein du trafic légitime de Microsoft 365 et du réseau, évitant ainsi les défenses périmétriques conventionnelles.
La campagne elle-même semble être étroitement ciblée. Group-IB a identifié 12 systèmes infectés, dont trois seulement ont communiqué avec la boîte aux lettres compromise au cours de la période observée. La boîte aux lettres compromise utilisée pour le commandement et le contrôle appartenait à une organisation israélienne, des échantillons de logiciels malveillants ont été téléchargés depuis Israël et les chercheurs ont déclaré que les preuves suggèrent une opération d’espionnage ciblée plutôt qu’un vaste smash-and-grab.
HOLLOWGRAPH n’exploite pas de faille dans Microsoft 365 ou Microsoft Graph. Au lieu de cela, il tire parti de services déjà fiables au sein de la plupart des organisations, ce qui rend l’activité beaucoup moins visible que les logiciels malveillants qui s’attaquent à l’infrastructure contrôlée par les attaquants. ®
