Lühidalt: HollowGraph peidab spionaažikäsud Microsoft 365 kalendrisse ning kasutab avastussüsteemide vältimiseks legitiimset Graph API-t.
Hiljuti avastatud spionaažiimplant peidab käsu-ja-kontrolli (command-and-control) juhised ja varastatud failid Microsoft 365 kalendrisündmustesse, millel on 2050. aasta kuupäevad. Taktika kasutab legitiimset Microsoft Graph API-t, et varjata pahavara liiklust tavapärase pilveliikluse sees.
Group-IB nimetas pahavara HollowGraphiks ja kirjeldas peitmismustrit, mille käigus operaatori juhised ja väljafiltreeritud andmed põimitakse sihtorganisatsioonide kalendrisündmustesse. 2050. aasta kuupäev varjab sündmusi tahtlikult ajatempli tasandil ning raskendab kronoloogilisele sortimisele toetuvat kohtuekspertiislikku avastamist.
Lähenemine kasutab Microsoft Graph API kõnesid, et suunata peidetud käsud ja andmemanused läbi tavapärase pilveliikluse. Kuna enamik organisatsioone peab Microsoft 365 kasutust legitiimseks, ei märgistata seda tegevust kahtlasena. Tuvastatud käsukanaleid sihtivad võrgupõhised avastusmeetodid jäävad kõrvale, kuna suhtlus toimub usaldusväärse SaaS-toote sees.
Infoturbejuhtidele (CISO) tähendab see märkimisväärset avastuslünka: tavapärased lõpp-punkti tuvastamise ja reageerimise (EDR) lahendused ning võrgumonitooring ei tuvasta HollowGraphi, kui ei tehta eraldi anomaaliaanalüüsi Microsoft Graph’i kasutusmustrite kohta. Kalendri API-de kasutamine, eriti ebatavaliste kuupäevade või manuste suurustega, peaks kuuluma põhitaseme lähtejoonde (baseline).
Tõhus vastumeede eeldab Entra ID tingimusliku juurdepääsu (Conditional Access) reegleid, mis lubavad kalendri API-dele juurdepääsu ainult volitatud seadmetele ja kasutajatele, samuti auditilogimist kõigi Microsoft Graph’i toimingute üle. Kõrvalekalduvad või harva esinevad API-mustrid vajavad anomaaliate tuvastamist rakenduse tasandil.
Allikas: thehackernews.com · Avaldatud 20. juulil 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse art. 50-le. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.7.3 abil.