北京
針對Azure活躍目錄Graph API的暴力破解攻擊，成功率一度接近10%——這還只是明面上的數字?，F在，攻擊者找到了更隱蔽的玩法。安全公司Group-IB最新披露，一款名為HollowGraph的新型木馬正在利用微軟Microsoft 365日歷功能和Microsoft Graph API，構建出一條難以察覺的命令控制通道。
Group-IB在博文中詳細解釋了這條隱蔽通道的運作邏輯。HollowGraph本身只支持get和send兩類基礎指令，攻擊者并不直接下發復雜任務，而是把微軟365日歷變成自己的“公告板”。他們通過Graph API操縱受害者已經創建的日歷事件，篡改事件主題或附件，將下一步攻擊動作編碼其中。到了預設時間，木馬就會讀取這些事件并執行附件中的惡意負載，整個過程完全包裹在正常的API通信里，安全團隊很難從海量日志中一眼揪出異常。
研究人員在分析HollowGraph的指令結構時發現了一個重要線索：其指令格式與之前捕獲的Cavern模塊化后門框架高度相似。Group-IB據此推斷，HollowGraph很可能是Cavern框架的另一種變體，這意味著背后黑產團伙的工具箱又增添了一個專門針對云辦公生態的新組件。
面對這種濫用合法API的新手法，Group-IB給出的建議相當具體。企業安全團隊需要把監控重點從傳統的端點行為擴展到云端操作日志上，緊盯Microsoft Graph API的調用記錄和Microsoft 365郵箱審計日志。尤其要留意賬戶中突然冒出的神秘日歷事件、非工作時段上傳的可疑附件，以及郵件主題字段被異常修改的情況——這些微小變動往往就是C2信令留下的足跡。
事實上，攻擊者盯上微軟Graph API已經不是第一次了。2025年1月，安全人員曾發現黑客利用FastHTTP Go庫對Azure Active Directory Graph API發起高速暴力破解，近10%的賬戶被成功突破。再往前一年，賽門鐵克捕獲過一起濫用Graph API嵌入木馬的攻擊，惡意腳本直接托管在OneDrive上，借助與微軟服務器通信的合法性來繞過安全軟件監測。從暴力破解到隱蔽駐留，同一套API正在被不同攻擊階段反復利用，而HollowGraph的出現，把這種濫用推到了更輕量、更依賴日常辦公工具的新階段。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
