В последно време се наблюдава нарастваща сложност в методите за кибератаки, като новият зловреден софтуер HollowGraph демонстрира иновативен подход за комуникация с командно-контролния (C2) сървър. Той използва функцията за календар в Microsoft 365, достъпна чрез Microsoft Graph API, за да предава команди и да извлича данни от компрометирани пощенски кутии.
Какво представлява HollowGraph и как работи?
HollowGraph е зловреден компонент, който се внедрява в системи с достъп до Microsoft 365. Вместо да използва традиционни методи за комуникация, които често се следят и блокират от системите за сигурност, той експлоатира легитимната функционалност на календара в Microsoft 365. Чрез тази функция, атакуващите могат да изпращат команди и да получават отговори, скрити в събитията на календара, което затруднява откриването на злонамерената активност.
Тази техника позволява на зловредния софтуер да остане незабелязан за по-дълъг период, тъй като комуникацията изглежда като нормална дейност в корпоративната среда. Освен това, използването на Microsoft Graph API осигурява стабилна и надеждна връзка с командния център, което увеличава ефективността на атаката.
Защо тази заплаха е значима?
Използването на легитимни услуги като Microsoft 365 за зловредна комуникация представлява сериозно предизвикателство за киберсигурността. Традиционните системи за откриване на заплахи разчитат на идентифициране на подозрителен трафик или необичайни връзки, но HollowGraph избягва тези механизми, като се маскира като нормална активност.
Това означава, че организации, които използват Microsoft 365, трябва да бъдат особено внимателни и да прилагат допълнителни мерки за мониторинг и анализ на активността в календара и други компоненти на Microsoft Graph. Без адекватна защита, компрометираните пощенски кутии могат да станат входна точка за по-широки атаки и изтичане на чувствителна информация.
По-широк контекст в киберсигурността
Тенденцията за използване на легитимни облачни услуги и API-та за зловредни цели не е нова, но HollowGraph илюстрира как хакерите адаптират своите методи към съвременните корпоративни среди. С увеличаването на използването на облачни платформи, атаките стават все по-сложни и трудни за откриване.
Това подчертава необходимостта от интегрирани решения за сигурност, които комбинират поведенчески анализ, машинно обучение и по-дълбок мониторинг на облачните услуги. Организациите трябва да инвестират в обучение на персонала и да развиват политики за сигурност, които да отразяват новите заплахи.
Какво следва?
Очаква се, че подобни техники за използване на легитимни платформи за зловредна комуникация ще се развиват и разпространяват. Производителите на софтуер и доставчиците на облачни услуги ще трябва да засилят защитата на своите API-та и да предоставят по-добри инструменти за откриване на необичайна активност.
От своя страна, организациите трябва да преразгледат своите стратегии за киберсигурност, като включат мониторинг на облачните услуги и анализ на поведението на потребителите. Само с комплексен подход може да се намали рискът от успешни атаки, използващи подобни иновативни методи.
