Malware transforma calendários do Microsoft 365 em canal secreto para extrair dados furtados
Um novo tipo de malware de espionagem, batizado de HollowGraph, está explorando uma funcionalidade improvável para driblar sistemas de segurança: os calendários do Microsoft 365. Em vez de recorrer a servidores de comando e controle tradicionais, o código malicioso transforma agendas corporativas comprometidas em um canal discreto para receber instruções dos atacantes e enviar arquivos roubados para fora do ambiente da vítima.
O truque é engenhoso: o HollowGraph cria e manipula eventos de calendário agendados para uma data extremamente distante – 13 de maio de 2050. Como quase ninguém consulta compromissos marcados tão à frente no tempo, as entradas fraudulentas tendem a passar despercebidas por usuários e equipes de TI, reduzindo muito a chance de detecção visual ou durante verificações superficiais.
Desenvolvido como uma DLL voltada para sistemas Windows, o implante se integra ao ecossistema corporativo utilizando a Microsoft Graph API, a mesma interface legítima usada por inúmeros aplicativos de produtividade e integração com o Microsoft 365. Isso permite que o malware se “camufle” no meio do tráfego normal gerado por soluções de e-mail, colaboração e calendário, tornando bem mais difícil identificar seu comportamento apenas com base em padrões de comunicação ou endereços de rede suspeitos.
Ao depender da Graph API, o HollowGraph evita a etapa clássica de se conectar diretamente a servidores remotos controlados pelos operadores da ameaça. Com isso, perde-se um dos indicadores mais comuns usados por ferramentas de segurança: domínios estranhos, listas de IPs maliciosos ou fluxos de rede para destinos pouco frequentes. Toda a troca de dados acontece dentro da infraestrutura aparentemente confiável da própria Microsoft, o que aumenta o grau de sofisticação da campanha.
O conjunto de funcionalidades do malware é enxuto, mas eficiente. Ele trabalha, essencialmente, com dois comandos principais. O primeiro, chamado “get”, é responsável por localizar instruções embutidas em compromissos criados pelos atacantes no calendário comprometido. Esses compromissos especiais, agendados para 2050, trazem nos anexos ou no corpo do evento as ordens que o malware deve seguir, como quais arquivos coletar, quais diretórios monitorar ou quais tipos de dados priorizar.
O segundo comando, “send”, entra em ação após a coleta dos dados na máquina comprometida. Nessa fase, o HollowGraph criptografa os arquivos furtados e os envia de volta aos operadores, anexando esse conteúdo a novos eventos inseridos no calendário da vítima. Novamente, os eventos são criados para a data distante e se misturam à massa de informações aparentemente legítimas, usando o mesmo fluxo de comunicação que qualquer outro acesso ao Microsoft 365.
Para proteger o conteúdo roubado, o malware combina dois algoritmos de criptografia amplamente utilizados no mercado: RSA e AES-256-GCM. O RSA entra como mecanismo de criptografia assimétrica, geralmente associado à troca segura de chaves, enquanto o AES-256-GCM funciona na proteção dos dados em si, garantindo confidencialidade e integridade. Um ponto importante é que o HollowGraph emprega chaves distintas para duas funções: uma para decifrar comandos recebidos e outra para cifrar os dados exfiltrados. Isso reduz o impacto do comprometimento de um dos lados da comunicação, evitando que toda a operação seja automaticamente exposta.
Os registros de atividade do malware são armazenados em um arquivo batizado de logAzure.txt. O nome foi escolhido justamente para remeter a um log legítimo de serviços em nuvem, o que ajuda a camuflar o artefato entre outros arquivos de diagnóstico ou auditoria que costumam existir em ambientes corporativos. Para um analista desatento, o arquivo pode parecer apenas um log técnico relacionado à infraestrutura em nuvem da empresa.
Durante a investigação, foram identificados pelo menos 12 sistemas infectados com o HollowGraph. Desses, cerca de três ainda mantinham comunicação ativa com os operadores, o que indica que a campanha estava em andamento no momento da análise. A janela de atividade observada se estendeu de 3 de junho a 9 de julho de 2026, sugerindo uma operação de espionagem relativamente discreta, sem caráter massivo. Os alvos apontam para uma campanha direcionada principalmente a organizações israelenses, o que levanta hipóteses de motivação geopolítica ou de ciberespionagem corporativa.
Esse tipo de ataque evidencia uma tendência importante no cenário atual: criminosos e grupos avançados buscam, cada vez mais, se esconder em serviços amplamente confiáveis e usados no dia a dia. Ao explorar plataformas como Microsoft 365, que são essenciais à operação de muitas empresas, os invasores aumentam a chance de manter presença persistente sem levantar alertas imediatos.
Também chama atenção o contraste entre o uso de tecnologias de ponta em segurança e a criatividade dos atacantes. Enquanto organizações investem em soluções com inteligência artificial para detectar ameaças e analisar grandes volumes de dados, os grupos maliciosos procuram brechas nos próprios fluxos de trabalho corporativos, aproveitando integrações e APIs legítimas para mascarar seus ataques. O HollowGraph ilustra bem essa corrida: sistemas modernos de segurança precisam ir além da simples análise de domínios e de assinaturas de malware, incorporando monitoramento de comportamento em nível de aplicação e de uso anômalo de APIs.
Para as empresas que utilizam intensivamente o Microsoft 365, o caso reforça a necessidade de endurecer políticas de segurança em torno de calendários, e-mails e outros recursos colaborativos. Medidas como revisão periódica de permissões de aplicativos, análise de logs da Microsoft Graph API, monitoramento de criação de eventos muito distantes no futuro e inspeção de anexos suspeitos em compromissos podem ajudar a identificar atividades fora do padrão.
Outro ponto crítico é a conscientização das equipes de TI e segurança sobre o potencial de abuso de funcionalidades que, à primeira vista, parecem inofensivas. Calendários muitas vezes são vistos apenas como ferramentas de organização pessoal, mas em ambientes corporativos eles fazem parte de um ecossistema com autenticação, sincronização entre dispositivos, integrações com outras plataformas e acesso via API. Isso os torna, também, uma superfície de ataque que não pode ser ignorada.
Ferramentas de detecção avançada, como soluções de análise comportamental e de proteção de identidade, podem ser configuradas para apontar alertas em situações incomuns, por exemplo, quando um usuário ou serviço passa a criar grandes quantidades de eventos para uma mesma data distante, ou anexa arquivos de tamanho incomum a compromissos de calendário. Cruzar esses sinais com o histórico de comportamento dos usuários e dos aplicativos autorizados é um passo essencial para diferenciar uso legítimo de possíveis abusos.
Do ponto de vista de resposta a incidentes, investigar casos suspeitos de exfiltração de dados hoje exige olhar para além dos caminhos tradicionais de saída, como e-mail, FTP ou armazenamento em nuvem externo. Como o HollowGraph demonstra, até mesmo um calendário pode servir como túnel para a extração de informações sensíveis. Isso implica revisar procedimentos de investigação, incluir artefatos pouco usuais (como eventos futuros e arquivos anexados a compromissos) e capacitar analistas a examinar esses elementos de maneira sistemática.
Por fim, a emergência de malwares como o HollowGraph reforça a importância de uma abordagem de segurança baseada em zero trust e segmentação de privilégios. Aplicativos que acessam APIs como a Microsoft Graph devem ter permissões minimamente necessárias, com revisões frequentes, autenticação forte e monitoramento contínuo. Quanto menor a superfície de acesso e mais restritas forem as credenciais utilizadas, mais difícil será para um atacante transformar ferramentas legítimas em um canal clandestino para conduzir espionagem digital.