Il malware HollowGraph, scoperto da Group-IB e reso noto il 20 luglio 2026, converte la funzione calendario di Microsoft 365 in un canale command-and-control bidirezionale. L'operazione ha colpito almeno 12 sistemi, concentrandosi su organizzazioni in Israele con una selettività che esclude il cybercrimine opportunistico. L'abuso di infrastrutture cloud legittime rappresenta l'evoluzione del living-off-the-land: non serve una vulnerabilità zero-day quando bastano credenziali compromesse e un'API pubblica.
- HollowGraph autentica sulla Microsoft Graph API tramite credenziali hardcoded nel file logAzure.txt, poi crea eventi calendario con data fittizia 13 maggio 2050 per il dead-drop di comandi e dati.
- Il malware impiega una crittografia ibrida RSA più AES-256-GCM con coppie di chiavi distinte: una per le istruzioni in entrata, l'altra per i dati in uscita.
- Un canale DNS tunneling su cloudlanecdn[.]com rinfresca le credenziali Entra ID, trasportando 14 byte utili per risposta IPv6 AAAA.
- La sintassi dei comandi e il formato JSON del tasking corrispondono al framework Cavern, condividendo similarità tecniche con il threat actor Lyceum senza però consentire un'attribuzione ad alta confidenza.
Il meccanismo C2: quando il calendario diventa terminale segreto
HollowGraph non installa server proprietari né sfrutta domini compromessi per il controllo. Si appoggia interamente all'ecosistema Microsoft: l'autenticazione avviene attraverso la Graph API, con tenant ID, client ID, client secret e indirizzo mailbox memorizzati nel file di configurazione. La data scelta per gli eventi calendario — 13 maggio 2050 — funge da ancoraggio temporale per il dead-drop: il malware interroga esclusivamente la finestra 22:00-23:00 UTC di quel giorno inesistente per recuperare istruzioni o depositare dati.
Due comandi strutturano il dialogo. Il comando GET cerca eventi con titolo "Event ID: " seguito da un identificatore di sette caratteri, scarica gli allegati e li decifra per estrarre le istruzioni operative. Il comando SEND crea invece eventi con formato "Boss{..}ID{..}" e allega i dati rubati, cifrati con la chiave RSA dedicata all'outbound. La separazione crittografica delle direzioni — RSA più AES-256-GCM, con key pair distinti per inbound e outbound — impedisce che la compromissione di un flusso esponga l'altro.
Il refresh delle credenziali avviene attraverso un tunnel DNS non cifrato verso il dominio cloudlanecdn[.]com. Ogni query AAAA riceve risposte IPv6 contenenti 14 byte di payload utile, assemblati in sequenza per ricostruire la nuova configurazione nel file logAzure.txt. Il tunnel DNS sfrutta un protocollo quasi sempre permesso nei firewall aziendali, rendendo il traffico indistinguibile da quello legittimo a meno di un'ispezione profonda dei contenuti.
L'impronta Cavern: framework condiviso, attribuzione incerta
La convergenza tra le fonti editoriali e l'advisory Broadcom/Symantec stabilisce con alta confidenza l'appartenenza di HollowGraph al framework Cavern. La prova tecnica è specifica: la sintassi di invocazione "_;;__,__,_" ripresa dai campi evento, il comando "MzU=" che decodifica a "003" (Toggle debug logging), il formato JSON del tasking con chiavi "cid", "type": "self" e "cmd". Questi elementi costituiscono firme comportamentali del framework piuttosto che coincidenze superficiali.
Parallelamente, Infosecurity Magazine riporta similarità tecniche con Lyceum, threat actor di nesso iraniano noto per operazioni nel Medio Oriente. Il dossier tuttavia non contiene evidenze di sovrapposizione infrastrutturale sufficiente per un'attribuzione alta confidenza: la relazione resta nel dominio delle analogie tecniche, non della certezza investigativa. Broadcom conferma la protezione dei propri endpoint contro indicatori legati a Cavern, ma non aggiunge elementi attributivi indipendenti.
"HOLLOWGRAPH demonstrates a high level of technical sophistication. Its use of trusted cloud infrastructure for command-and-control, hybrid encryption, DNS tunneling for credential refresh, and highly selective victim targeting collectively suggest that the threat actor possesses significant technical capabilities and operational maturity."
Timeline e profilo delle vittime: una campagna chirurgica
Group-IB ha identificato 12 sistemi compromessi, di cui solo 3 hanno mostrato comunicazione C2 attiva nel periodo di osservazione. La prima interazione vittima-attaccante è datata 3 giugno 2026, l'ultima 9 luglio 2026: una finestra temporale di poco più di un mese che, combinata con il basso numero di target, disegna un'operazione di precisione piuttosto che una campagna di massa.
Il targeting è geograficamente concentrato su Israele. La mailbox compromessa è associata a un'organizzazione israeliana; i file caricati e i campioni del framework Cavern rilevati provengono da infrastrutture nel medesimo Paese. La fonte non specifica il settore delle vittime né la natura dei dati potenzialmente esfiltrati, lasciando questi aspetti nei limiti del dossier.
Perché è importante
Il brief non documenta misure correttive specifiche rilasciate da Microsoft né indicazioni operative dettagliate dai vendor. Il dossier non specifica il vettore di infezione iniziale, il metodo di compromissione delle credenziali M365, né l'ambito completo della campagna Cavern più ampia. L'identità esatta del threat actor resta non determinata: le similarità con Lyceum non superano la soglia dell'attribuzione con alta confidenza.
Il brief non elenca impatti concreti sui dati delle 12 vittime identificate, né la presenza di un CVE specifico per la tattica impiegata. La fonte non indica se Microsoft abbia implementato contromisure specifiche oltre alle protezioni standard di monitoraggio API.
Lettura: l'invisibilità come progetto
HollowGraph risolve un problema classico dell'espionaggio digitale: come mantenere un canale di comunicazione senza destare l'attenzione dei sistemi di difesa. La risposta non passa per tecniche sofisticate di evasione, ma per l'occultamento in piena luce. I log di audit che registrano chiamate alla Graph API mostrano attività legittima; i tunnel DNS su porte standard non violano policy di rete; gli eventi calendario, per quanto datati 2050, risiedono su infrastrutture autentiche e certificate.
La conseguenza per le difese è spostata: non più la ricerca di anomalie di rete in traffico sospetto, ma l'analisi comportamentale di pattern API insoliti — frequenze di accesso, orari di interrogazione, creatività nelle date degli eventi. Il calendario non è più uno strumento di produttività compromesso, ma la stessa superficie di attacco. E la linea tra compromissione e uso normale si assottiglia fino a richiedere una comprensione contestuale che i controlli tradizionali, per struttura, non possiedono.
Fonti
- https://www.bleepingcomputer.com/news/security/new-hollowgraph-malware-uses-microsoft-graph-for-stealthy-c2-comms/
- https://www.infosecurity-magazine.com/news/hollowgraph-microsoft-calendars/
- https://www.broadcom.com/support/security-center/protection-bulletin/hollowgraph-malware-leverages-microsoft-365-calendar-events-for-c2-communication
- https://support.broadcom.com/user
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/
- https://www.bleepingcomputer.com/download/
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.