En el panorama de la ciberseguridad, una reciente investigación de Group-IB expone una muestra novedosa de malware, denominada HollowGraph, diseñada para exfiltrar archivos sensibles de dispositivos comprometidos mediante el uso del Microsoft Graph API y del calendario de Microsoft 365. Este enfoque no solo es técnicamente innovador, sino que también presenta retos para la detección tradicional, ya que el tráfico malicioso puede parecer tráfico legítimo dentro de un entorno corporativo.

Puntos clave del informe:
– HollowGraph se instala aprovechando una cuenta de Microsoft 365 y utiliza los permisos de dicha cuenta para interactuar con Microsoft Graph.
– El método de comando y control se esconde en entradas de calendario futuras: los operadores crean citas muy lejanas en el tiempo (por ejemplo, en 2050) para dificultar su detección y luego ejecutan las instrucciones contenidas en esas notas.
– La exfiltración de datos se realiza adjuntando archivos cifrados a eventos del calendario, que luego viajan a través de la API de Graph. Este canal se percibe como tráfico legítimo por las defensas habituales, aumentando la sofisticación de la operación.
– En el balance de víctimas, se han identificado al menos 12 sistemas comprometidos, todos asociados a entidades israelíes. En varios casos, los sistemas seguían comunicándose con la infraestructura de los atacantes durante la investigación.
– Aunque Group-IB no atribuye el ataque a un actor específico con alta confianza, se señalan similitudes técnicas entre HollowGraph y otros instrumentos (como Cavern y un backdoor .NET vinculado a Lyceum, un actor con origen iraní asociado a OilRig). No obstante, estas correlaciones no son concluyentes y se indica baja confianza en una atribución definitiva.

Implicaciones para la defensa:
– La utilización de plataformas y canales oficiales (Microsoft 365, Graph API, calendario) subraya la necesidad de una visibilidad granular de las operaciones dentro de entornos organizativos, no solo de los endpoints aislados.
– Las organizaciones deben reforzar la monitorización de actividades no habituales en calendarios y de adjuntos o archivos inusuales asociados a eventos, especialmente si se trata de fechas lejanas o entradas repetitivas que no concuerdan con escenarios operativos normales.
– La detección temprana requiere correlacionar eventos de múltiples capas: autenticación, actividad de Graph, creación de entradas de calendario y patrones de exfiltración de datos, para identificar curvas de comportamiento anómalas.

Conclusión:
La campaña HollowGraph ilustra una evolución en la ciberseguridad ofensiva al aprovechar servicios en la nube y funciones colaborativas para mover datos de forma encubierta. A medida que los actores maliciosos amplían su repertorio de vectores, las defensas deben adaptarse con enfoque en la detección de anomalías contextuales dentro de plataformas de productividad y mensajería, así como en la monitorización de las rutas de exfiltración que suelen parecer legítimas en entornos corporativos.

from Latest from TechRadar https://ift.tt/QF8gEsx
via IFTTT IA