⚠️ NUEVA AMENAZA APT | HollowGraph: Calendario de Microsoft 365 como canal C2 invisible fechado en 2050.
Group-IB documentó HollowGraph, un implant de espionaje .NET activo desde junio de 2026 atribuido con alta confianza al framework Cavern, vinculado a un actor de nexo iraní con similitudes técnicas a Lyceum. Solo 12 sistemas infectados identificados, todos asociados a entidades en Israel, confirman una operación de espionaje altamente dirigida.
🔍 Técnicas clave
1️⃣ Calendario M365 como dead drop bidireccional: HollowGraph se autentica en Microsoft Graph API usando credenciales de una cuenta M365 comprometida. Los comandos del operador llegan como eventos de calendario con adjuntos cifrados. Los archivos robados se exfiltran como adjuntos en nuevos eventos del mismo calendario. Todos los eventos usan una ventana de tiempo fija en 2050-05-13 de 22:00 a 23:00 UTC para mantenerse fuera de la vista del propietario de la cuenta.
2️⃣ Solo 2 comandos, impacto total: El implant soporta únicamente get (descarga y descifra tareas del calendario) y send (cifra y sube archivos robados como adjuntos). Nunca contacta un servidor del atacante. Todo el tráfico C2 es indistinguible del tráfico legítimo de Microsoft 365.
3️⃣ Cifrado asimétrico por dirección: RSA-OAEP + AES-256-GCM con pares de clave RSA independientes para cada dirección. Las tareas entrantes y la exfiltración saliente son criptográficamente independientes.
4️⃣ Renovación de credenciales via DNS tunneling: Un segundo canal consulta el dominio cloudlanecdn[.]com via registros IPv6 AAAA para refrescar tokens de Microsoft Entra ID. Las credenciales descifradas se escriben en disco como logAzure.txt camuflado como log ordinario.
5️⃣ Camuflaje como librería Brotli: El DLL se disfraza en disco como una librería de compresión Brotli legítima. Compilado con .NET NativeAOT, reduciendo drásticamente los artefactos de análisis estático convencional.
🛡️ Recomendaciones ISO 27001
✅ A.12.4 Monitoreo: Audita Microsoft Graph y Microsoft 365 audit logs buscando actividad de calendario generada por aplicaciones, especialmente eventos con fechas en años futuros lejanos (2050+), subjects inusuales y adjuntos del tipo application/octet-stream. Detecta el archivo logAzure.txt creado fuera de directorios de logs corporativos.
✅ A.13.1 Segmentación de red: Monitorea tráfico DNS saliente hacia cloudlanecdn[.]com y patrones de DNS tunneling via registros AAAA desde endpoints que no son servidores de infraestructura.
IOCs: cloudlanecdn[.]com | logAzure.txt | eventos de calendario con fecha 2050-05-13 22:00-23:00 UTC
🔗 group-ib.com/blog/hollowgra…
🔗 cysecurity.news/2026/08/hollow…
#CyberSecurity #ThreatIntelligence #HollowGraph #Microsoft365 #MicrosoftGraph #APT #Iran #Espionage #Lyceum #ISO27001 #HInsideSecurity #DFIR #RedTeam #GroupIB #CloudC2
Group-IB documentó HollowGraph, un implant de espionaje .NET activo desde junio de 2026 atribuido con alta confianza al framework Cavern, vinculado a un actor de nexo iraní con similitudes técnicas a Lyceum. Solo 12 sistemas infectados identificados, todos asociados a entidades en Israel, confirman una operación de espionaje altamente dirigida.
🔍 Técnicas clave
1️⃣ Calendario M365 como dead drop bidireccional: HollowGraph se autentica en Microsoft Graph API usando credenciales de una cuenta M365 comprometida. Los comandos del operador llegan como eventos de calendario con adjuntos cifrados. Los archivos robados se exfiltran como adjuntos en nuevos eventos del mismo calendario. Todos los eventos usan una ventana de tiempo fija en 2050-05-13 de 22:00 a 23:00 UTC para mantenerse fuera de la vista del propietario de la cuenta.
2️⃣ Solo 2 comandos, impacto total: El implant soporta únicamente get (descarga y descifra tareas del calendario) y send (cifra y sube archivos robados como adjuntos). Nunca contacta un servidor del atacante. Todo el tráfico C2 es indistinguible del tráfico legítimo de Microsoft 365.
3️⃣ Cifrado asimétrico por dirección: RSA-OAEP + AES-256-GCM con pares de clave RSA independientes para cada dirección. Las tareas entrantes y la exfiltración saliente son criptográficamente independientes.
4️⃣ Renovación de credenciales via DNS tunneling: Un segundo canal consulta el dominio cloudlanecdn[.]com via registros IPv6 AAAA para refrescar tokens de Microsoft Entra ID. Las credenciales descifradas se escriben en disco como logAzure.txt camuflado como log ordinario.
5️⃣ Camuflaje como librería Brotli: El DLL se disfraza en disco como una librería de compresión Brotli legítima. Compilado con .NET NativeAOT, reduciendo drásticamente los artefactos de análisis estático convencional.
🛡️ Recomendaciones ISO 27001
✅ A.12.4 Monitoreo: Audita Microsoft Graph y Microsoft 365 audit logs buscando actividad de calendario generada por aplicaciones, especialmente eventos con fechas en años futuros lejanos (2050+), subjects inusuales y adjuntos del tipo application/octet-stream. Detecta el archivo logAzure.txt creado fuera de directorios de logs corporativos.
✅ A.13.1 Segmentación de red: Monitorea tráfico DNS saliente hacia cloudlanecdn[.]com y patrones de DNS tunneling via registros AAAA desde endpoints que no son servidores de infraestructura.
IOCs: cloudlanecdn[.]com | logAzure.txt | eventos de calendario con fecha 2050-05-13 22:00-23:00 UTC
🔗 group-ib.com/blog/hollowgra…
🔗 cysecurity.news/2026/08/hollow…
#CyberSecurity #ThreatIntelligence #HollowGraph #Microsoft365 #MicrosoftGraph #APT #Iran #Espionage #Lyceum #ISO27001 #HInsideSecurity #DFIR #RedTeam #GroupIB #CloudC2
Aug 3, 2026 · 12:04 AM UTC
0
0
0
66