Malware transforma calendários do Microsoft 365 em canal secreto para roubo de dados
Um novo tipo de malware de espionagem, batizado de HollowGraph, está explorando de forma criativa um recurso pouco suspeito no ambiente corporativo: os calendários do Microsoft 365. Em vez de recorrer a servidores tradicionais de comando e controle, a ameaça usa eventos de agenda como um túnel discreto para receber instruções dos operadores e exfiltrar arquivos sigilosos das máquinas infectadas.
O truque central está na escolha da data: o malware cria e manipula compromissos marcados para 13 de maio de 2050. Como se trata de um dia muito distante no futuro, a maioria dos usuários jamais navega até esse ponto na agenda, o que reduz drasticamente as chances de um funcionário notar algo estranho no calendário da conta corporativa.
Como o HollowGraph funciona na prática
O HollowGraph é distribuído na forma de uma DLL maliciosa para sistemas Windows. Uma vez instalado, ele passa a utilizar a Microsoft Graph API, a mesma interface legítima usada por aplicações corporativas para integrar e automatizar serviços do ecossistema Microsoft 365. Ao se misturar a esse tráfego comum, o malware se camufla em meio às comunicações normais da organização.
Essa abordagem dispensa o uso de domínios suspeitos ou servidores externos evidentes para buscar comandos. Em vez de contatar diretamente uma infraestrutura de ataque, o implante lê e escreve dados em eventos de calendário, que são sincronizados com a nuvem da Microsoft. Para soluções de segurança focadas em bloqueio por domínio ou análise de tráfego incomum, a comunicação parece absolutamente legítima.
Dois comandos, duas funções: “get” e “send”
O funcionamento do HollowGraph é relativamente enxuto, mas eficiente. Ele se baseia em dois comandos principais:
– get: o malware procura, no calendário comprometido, compromissos criados pelos operadores. Nesses eventos, ficam anexadas as instruções que a máquina infectada deve executar, como coletar determinados tipos de arquivo, listar diretórios ou capturar informações específicas.
– send: após cumprir as ordens, o malware reúne os dados roubados, criptografa o conteúdo e cria novos eventos no calendário, anexando ali os arquivos exfiltrados. Esses compromissos também são marcados para 13 de maio de 2050, mantendo o mesmo padrão de ocultação.
Dessa forma, o calendário do Microsoft 365 funciona simultaneamente como canal de comando e repositório dos dados roubados. Os operadores, do outro lado, precisam apenas acessar o calendário comprometido para baixar os anexos e planejar os próximos passos do ataque.
Camadas de criptografia para proteger os dados roubados
Para dificultar ainda mais a análise e o bloqueio, o HollowGraph emprega uma combinação robusta de algoritmos criptográficos. Os arquivos são protegidos com RSA e AES-256-GCM, dois padrões amplamente utilizados para garantir confidencialidade e integridade de dados.
Um detalhe importante é o uso de chaves distintas para fluxos diferentes:
– uma chave dedicada à recepção de comandos;
– outra voltada à exfiltração das informações roubadas.
Essa separação faz com que o comprometimento de uma das chaves não revele automaticamente todo o conteúdo da comunicação. Mesmo que um analista consiga quebrar ou capturar o material de um dos lados, o outro permanece protegido, elevando o nível de resiliência da operação maliciosa.
Disfarce em arquivos de log e rastros mínimos
Localmente, o HollowGraph registra suas atividades em um arquivo chamado logAzure.txt, que se apresenta como um simples log de sistema, típico de ambientes corporativos integrados à nuvem. A escolha do nome não é aleatória: remete a serviços da própria Microsoft, o que tende a afastar suspeitas durante verificações superficiais.
Durante a investigação, foram encontrados pelo menos 12 sistemas comprometidos. Em aproximadamente três deles ainda havia comunicação ativa, sinal de que os operadores seguiam em operação. A campanha foi observada entre 3 de junho e 9 de julho de 2026 e, até o momento, tudo indica que o foco principal eram entidades localizadas em Israel, o que caracteriza uma ação direcionada, possivelmente com motivação política, estratégica ou de espionagem corporativa.
Por que o uso de calendários é tão perigoso?
O grande diferencial dessa técnica é justamente se apoiar em um recurso cotidiano do ambiente corporativo. Calendários compartilhados são amplamente usados para organizar reuniões, prazos e atividades internas, muitas vezes com altos níveis de permissão e integrações com outros sistemas.
Em geral, equipes de segurança se concentram em monitorar e bloquear canais de comunicação mais óbvios, como conexões HTTP suspeitas, DNS malicioso, túneis em VPNs ou uso irregular de serviços de armazenamento em nuvem. O calendário, por outro lado, raramente é tratado como vetor de exfiltração, o que cria uma zona cega nos processos tradicionais de monitoramento.
Além disso, a Microsoft Graph API é um pilar fundamental de inúmeros fluxos corporativos. Bloquear ou limitar agressivamente seu uso pode causar impactos diretos em produtividade e em integrações críticas de negócio. Os atacantes exploram exatamente esse dilema: sabem que empresas hesitam em restringir serviços essenciais.
Desafios de detecção para SOCs e equipes de segurança
Para centros de operações de segurança (SOCs), identificar uma campanha como a do HollowGraph exige um olhar mais sofisticado sobre o uso de APIs e padrões de comportamento em serviços em nuvem. Não basta mais perguntar “este domínio é malicioso?”; é preciso avaliar como recursos legítimos estão sendo manipulados.
Alguns sinais suspeitos que podem indicar atividades similares incluem:
– criação recorrente de eventos de calendário para datas muito distantes no futuro;
– anexos incomuns ou frequentes em compromissos de usuários que historicamente quase não utilizam essa função;
– aumento abrupto do volume de dados associados a eventos de agenda;
– acessos programáticos (via APIs) ocorrendo em horários atípicos ou por dispositivos não usualmente associados àquela conta.
Detectar esses padrões exige correlação de logs, telemetria avançada e, muitas vezes, o uso de modelos de análise comportamental e de anomalias em ambiente de nuvem.
Estratégias de mitigação e boas práticas
Para reduzir o risco de ataques que exploram calendários e outras funcionalidades “esquecidas” do Microsoft 365, algumas medidas podem fazer a diferença:
1. Revisar permissões e integrações da Graph API: aplicar o princípio de privilégio mínimo, concedendo apenas o estritamente necessário a aplicativos internos e de terceiros.
2. Implementar alertas para uso anômalo de calendários: monitorar criação de eventos em datas muito distantes, anexos repetitivos e comportamentos fora do padrão de cada usuário ou grupo.
3. Auditar acessos a contas de alto valor: contas de executivos, administradores e equipes estratégicas devem ter políticas mais rígidas de monitoramento, autenticação multifator e análise de comportamento.
4. Endurecer políticas de execução de DLLs em estações Windows: restringir a execução de bibliotecas não assinadas ou não verificadas, reforçando controles de endpoint.
5. Treinar equipes internas: ainda que o calendário não seja um vetor típico, conscientizar usuários sobre atividades estranhas, notificações inesperadas e comportamentos anômalos contribui para detecções precoces.
O papel da inteligência de ameaças apoiada por IA
O crescimento de operações avançadas como a do HollowGraph reforça a necessidade de inteligência de ameaças (Threat Intelligence) mais contextualizada e, cada vez mais, impulsionada por IA. Com o volume gigantesco de logs e eventos gerados em ambientes híbridos e multicloud, detectar padrões discretos de abuso de APIs se torna inviável apenas com análise manual.
Modelos de IA podem auxiliar a:
– correlacionar comportamentos incomuns em diferentes serviços de nuvem;
– identificar “assinaturas comportamentais” de grupos de ataque específicos;
– priorizar alertas realmente relevantes para analistas humanos;
– simular possíveis rotas de exfiltração em serviços que, à primeira vista, não foram projetados para isso.
Por outro lado, os próprios atacantes passam a usar IA para aprimorar a furtividade de seus códigos, automatizar a adaptação a novos ambientes e testar continuamente novas formas de se camuflar em serviços legítimos. O cenário se transforma em uma corrida constante de inovação entre defesa e ataque.
O que esse caso revela sobre a evolução do cibercrime
O uso criativo de calendários do Microsoft 365 para ocultar arquivos roubados é mais do que um detalhe técnico engenhoso. Ele revela uma tendência clara: criminosos digitais estão cada vez mais abandonando técnicas “barulhentas” e partindo para o abuso inteligente de infraestruturas confiáveis, já presentes nas empresas.
Ao transformar um recurso banal – como um compromisso marcado para 2050 – em canal de espionagem, o HollowGraph demonstra que praticamente qualquer funcionalidade em nuvem pode ser convertida em arma, desde que o atacante compreenda seus fluxos internos e limitações de monitoramento.
Para as organizações, a lição é direta: proteger-se já não significa apenas bloquear o que é obviamente malicioso, mas também entender profundamente como os próprios serviços legítimos podem ser subvertidos. Somente com essa visão ampliada será possível detectar, em tempo hábil, ameaças sofisticadas que se escondem à vista de todos – inclusive dentro da agenda de reuniões.